anim bagay tungkol sa pag-aaral ng smart contract security na hindi kayang ihanda ng anumang kurso, thread, o roadmap: 1. ang pagkakaiba sa pagitan ng “nakakapaliwanag ako ng bug na ito” at “nakakakita ako ng bug na ito sa hindi pamilyar na code” ay ang totoong trabaho. lahat ay nagtuturo sa una. halos walang nagtuturo sa pangalawa. 2. bawat audit report na binabasa mo ay nagtuturo sa iyo ng ganoon kalaki kaysa anumang kurso, ngunit walang nagpapayo sa iyo na basahin ang mga ito. 3. ang defi primitives, Aave, Uniswap, pagpapautang, AMMs, ay hindi opsyonal. hindi mo ma-audit ang hindi mo maintindihan. 4. ang kasanayan sa pagsusulat ay kalahati ng bayad. ang paghahanap ng bug ay ang kalahating parte lamang. 5. ang AI ay ang pinakamahusay na kasamang pag-aaral sa mundo kung gagamitin mo ito nang tama. ito ang pinakamabilis na paraan upang magsinungaling sa iyong sariling pag-unlad kung hindi mo ito gagamitin. walang nagpapahalaga sa iyong pag-unlad. ang kalayaang ito ay parehong punto at pinakamahirap na bahagi. walang nagpapadala sa iyo ng listahang ito. isusulat mo ito mismo habang ikaw ay umaabot.

Ang karamihan sa mga tao ay pumipili ng mas madaling daan. Hindi dahil sila ay tamad, kundi dahil mas madali ito. Mas mabilis ang resulta, mas malinaw ang feedback, at may trabaho sa dulo na talagang maipapaliwanag mo sa mga magulang mo. Pumili ako ng smart contract security. Ang ramp ay brutal. Ang feedback loop ay nangangailangan ng ilang buwan. May mga araw na mahirap sabihin kung nagkaroon nga ako ng pag-unlad. Pero iba ang ceiling, at ang pagdududa na nararamdaman ko sa karamihan ng mga gabi ay simple lang ang presyo para makamit ito. Kung ikaw ay nasa mahirap na daan din, hindi mo kailangan na maging mas madali. Kailangan mo lang na patuloy na lumabas.

Kasalukuyang ipinagtanggol ko ang aking huling taong proyekto sa unibersidad ilang linggo ang nakalipas—isang blockchain voting system para sa mga eleksyon sa unibersidad. Keccak256 identity verification. Anim na buwan ng paggawa. Tapos binasa ko ang BonkDAO writeup this week. $20M ang nawala nang walang isang vulnerable line ng code. Ang attacker ay bili lang ng sapat na tokens para pasahin ang proposal. Ang aking sistema ay sasabog din nang ganito. Ang code ay malinis. Ang identity hashing ay gumagana. Checks-effects-interactions lahat ng dako. Pero hindi ko isinama ang economic layer. Hindi ko tanungin kung ano ang mangyayari kapag bumaba ang gastos para makakuha ng voting power sa ilalim ng halaga ng kontrol ng boto. Hindi rin ito napansin ng aking defence panel—dahil doon ay hindi kumikita ang sinuman sa unibersidad. Ang pagkakaiba sa pagitan ng pagiging tama ng code at pagiging ligtas ng sistema—doon nakatira ang tunay na trabaho. Iyon ang bahagi na pinipili kong i-focus sa mga susunod na ilang taon.

Kasalukuyang isinulat ko ang aking huling papel at ipinagtanggol ang aking proyekto. Tapos na ang unibersidad ko. 7 buwan na sa smart contract security. Walang natagpuan. At para sa unang beses sa buhay ko, may-ari ako ng buong araw ko. Kaya ibinibigay ko ang mga sumusunod na 3 buwan sa isang tungkulin: ang aking unang wastong pagkakatuklas bago ang Oktubre 1. Ang araw-araw na routine: → Ethernaut challenge araw-araw → Pagkumpleto ng @CyfrinUpdraft Advanced Foundry Course → Pagbabasa ng Solodit reports para matutunan kung paano natutuklasan ang mga tunay na bug → Lahat ay dokumentado sa GitHub Unang tuntunin: First Flights. Sasabihin ko nang tapat, takot ako sa paghahanap ng mga tunay na vulnerabilities sa mga tunay na codebases. Ang mga tutorial ay nagpaparamdam na handa ka. Alam kong malamang ay hindi pa ako handa. Pero isinusulat ko ang lahat ng ito dito. Ang mga tagumpay, ang mga pagtanggi, lahat ng ito. Kung ikaw ay nasa simula pa rin sa larangan na ito, sundin mo ang pag-unlad namin. Tingnan natin kung ano talaga ang anyo ng 90 araw ng malalim na pagsisikap.

7 buwan na sa seguridad ng smart contract. walang hanap pa rin. pero natuklasan ko ang isang bagay tungkol sa AI na nagbago sa paraan kong matututo. Nakapag-iiyak ako sa pagkabigo ng mga test sa Foundry nang ilang araw. Patuloy kong tinanong si Claude na ayusin sila. At ginawa niya. Pagkatapos, bumagsak ang iba pa. Walang katapusan ang loop. Pagkatapos, hinto ko na ang paghingi ng mga ayos at nagsimula akong maghingi ng paliwanag. Bigla akong naiintindihan ang code kesa sa pagpapabuti lang nito. Maliit na pagbabago. Kaugnay na iba’t ibang resulta. Kung ikaw ay isang junior na gumagamit ng AI para i-shortcut ang mga mahirap na bahagi, ikaw ay nagpapalit sa tanging bahagi na talaga ang naggagawa sa iyo ng mabuti.

Ang karamihan sa mga tao ay pumasok sa web3 para hanapin ang mabilis na pera. Talagang kaunti ang handang gawin ang teknikal na trabaho na tunay na gumagawa nito. Gusto ng lahat ang airdrop. Halos walang gustong maintindihan ang contract na nagpapadala nito. Gusto ng lahat ang yield. Halos walang gustong i-audit ang protocol na nagpapagawa nito. Hindi sa hype ang pagkakataon. Palagi ito sa puwang sa pagitan ng bilang ng mga tao na gustong makatanggap ng reward at bilang ng kaunti lamang na handang gawin ang trabaho sa ilalim nito. Ang puwang na ito ay patuloy na bukas.

Gumagamit na ang mga hacker ng AI upang makahanap ng mga vulnerability. Ang mga nagtatanggol sa mga protocol ay patuloy pa ring nagdadalawang-isip kung tama bang gamitin ito. Isipin muna natin iyon nang maayos. Samantala, habang ang mga whitehat ay nagpapalitan ng mga etikal na talakayan tungkol sa AI sa seguridad, ang mga blackhat ay nagsagawa na ng sagot at nagpatuloy na. Gumagamit sila nito upang mas mabilis na i-scan ang mga codebase, magbuo ng mga hipotesis sa exploit, at makahanap ng mga edge cases na nalilimutan ng mga tao na auditor pagkatapos ng mahabang pagsusuri. Laging mas mabilis ang attack side kaysa sa defense side. Ginawang mas malaki ng AI ang pagkakaiba iyon. Hindi ito isang paghula tungkol sa hinaharap ng seguridad. Ito ay nangyayari na ngayon. Ang $2.1B na nawala sa mga exploit noong nakaraang taon ay hindi nangyari dahil mas matalino ang mga attacker. Nangyari ito dahil mas maliit ang kanilang pag-aatubili. Ang mga auditor at researcher na makakahanap kung paano gamitin ang AI bilang armas bago sila bigyan ng oportunidad ay ang magtatatag ng anyo ng web3 security sa loob ng tatlong taon. Ang mga umaasang magkakaroon ng pahintulot ay nasa likod na.

Nakalimot ako sa smart contract security sa ikalawang buwan dahil sa isang taong kasama ko na nakakuha ng kanilang unang paghahanap bago ako. Parehong petsa ng pagkakasimula. Parehong mga mapagkukunan. Iba ang resulta. At isinabing personal ko iyon. Hindi ko nakita na sila ay naghahanap ng 6 oras araw-araw habang ako ay nasa mode pa lamang ng tutorial. Ang timeline ay parang pareho sa panlabas. Ang mga input ay lubos na iba. Ang pagkakaroon ng ganitong pag-unawa ay isang bagay na patuloy kong pinaghihinalaang palitan mula sa pagmamasid kung ano ang ginagawa ng iba, patungo sa pagpapalabas ng oras na hindi pa nakikita. Hindi ka nasa likod ng mga nasa harap mo. Simple lang, hindi mo nakikita kung ano talaga ang kanilang ginagawa upang doon sila.

Karamihan sa mga tao ay naniniwala na ang pagpasok sa smart contract security ay nangangailangan ng degree sa computer science, taon ng karanasan, o isang espesyal na pahintulot. Hindi naman. Ang tunay na kailangan ay ang pagkakaroon ng kahandaan na upuan ang code na walang kwenta, maging tao na tila bulol habang natututo sa publiko, at muling lumabas ang susunod na araw. Hindi teknikal ang hadlang. Ito ay psikolohikal. At ito ay talagang mabuting balita, dahil ang mga hadlang na psikolohikal ay ang mga maaari mong piliing laktawan.

Sa web2, kung hi-hack ka, i-freeze mo ang mga account, tawagin ang bangko, at isali ang law enforcement. Sa web3, ang transaksyon ay pawang tapos. Walang pag-freeze, walang pag-reverse, walang numero ng customer support. Ang code ay batas, na tila makapangyarihan—hanggang sa may bug ang code. Pagkatapos, ang code ay simpleng mahal na pagkakamali na walang makakapag-undo. Dahil dito, ang security sa web3 ay hindi opsyonal. Ito ang buong pundasyon.