L'équipe de QuillAudits est arrivée à Mumbai pour @EFDevcon. Nos auditeurs, chercheurs, développeurs, équipe marketing et direction sont sur place pour animer des discussions, prendre la parole et échanger avec la communauté Web3. De la tokenisation à la sécurité blockchain, nous sommes ravis de participer aux conversations qui façonnent l'avenir de Web3. Si vous souhaitez nous rencontrer à Devcon, suivez les déplacements de notre équipe, consultez les événements auxquels nous participons, et inscrivez-vous sur UsePulse pour nous retrouver tout au long de Devcon ! 👇 Consultez notre calendrier d'événements : https://t.co/15F1ESWie1

Je dois avouer que le titre m’a fait peur un instant. On vend des audits depuis plus de 8 ans 😅 Mais en lisant le texte complet, le vrai point m’a frappé plus fort : les clients n’haïssent pas les audits, ils haïssent payer pour une liste de problèmes avant de connaître le coût de leur correction. Et honnêtement, la sécurité web3 souffre du même problème. Les fondateurs repoussent les audits à la dernière semaine avant le mainnet parce qu’ils les voient comme un simple PDF et une facture. Ensuite, le rapport arrive, les développeurs corrigent les anomalies, et l’équipe n’apprend presque rien. Nous l’avons constaté en direct avec QuillShield. Il a découvert indépendamment un autre chemin d’attaque pour une faille qu’un audit mené par 12 agents avait classée comme réfutée après qu’un mécanisme de protection avait bloqué le chemin testé. QuillShield a écrit un test d’exploitation qui a réussi, et un auditeur humain l’a vérifié sur un fork de mainnet. Quatre relecteurs ont convenu que la faille était réelle. Ce qui fonctionne vraiment, dans les agences d’IA comme en sécurité : Enseignez à l’équipe pendant que vous examinez son travail. Les meilleures découvertes viennent de personnes qui vous montrent leurs flux de travail réels. Laissez-les mieux que vous ne les avez trouvés, pas seulement avec un rapport. « L’audit a toujours lieu. Il ne doit simplement pas être la chose pour laquelle vous leur demandez de payer à l’avance. » Vous construisez quelque chose et vous venez à Devcon ? Parlons de la manière dont votre équipe reste sécurisée bien après l’audit. Mes DM sont ouverts 🤝 Bon article @lukepierceops 👇

Honnêtement, cela ressemble davantage à une stratégie de marketing visant à convaincre les gens de vendre leur bitcoin qu’à une analyse objective de la direction que prend le marché. Nous nous dirigeons vers un monde numérique en premier lieu, regardez @PhonePe et d’autres applications de paiement numérique. Les gens passent au sans argent liquide parce que la technologie rend les transactions plus rapides, plus faciles et plus pratiques. Le même changement se produit avec le bitcoin et les actifs numériques : des transactions mondiales plus rapides, des paiements sans frontières, une accessibilité financière et la possibilité de transférer de la valeur sans compter entièrement sur des intermédiaires traditionnels. Chaque technologie a ses limites et ses risques, mais cela ne signifie pas qu’il faut rejeter son potentiel. La technologie évolue pour résoudre des problèmes. La vraie question n’est pas de savoir si le bitcoin présente des défauts, mais si son utilité et son adoption à long terme peuvent continuer à croître. Juger une technologie émergente uniquement sur la base de sa performance actuelle sur le marché, c’est risquer de manquer la vision globale. Les agents IA auront besoin d’un moyen de payer pour des services, d’accéder à des données et d’exécuter des tâches de manière autonome. Des protocoles comme @base x402 permettent des paiements natifs internet entre agents IA et services. À mesure que les agents IA deviennent plus performants et tendent vers une superintelligence, la nécessité de paiements programmables, de transactions machine à machine et d’infrastructure financière sans autorisation pourrait augmenter considérablement. Je ne pense pas que le bitcoin, la blockchain ou la crypto disparaisse simplement parce que l’IA devient plus précieuse. Au contraire, la montée en puissance des agents IA pourrait créer de nouveaux cas d’usage pour la blockchain et les actifs numériques. La vraie question n’est pas de savoir si l’IA ou la crypto gagnera. C’est comment les deux évolueront ensemble pour construire la prochaine génération d’internet.

Fiers de l'équipe pour avoir livré cela. Pourquoi les développeurs devraient l'utiliser : 1. Taux de détection – 84 % sur EVM-bench. 2. Exploits PoC vérifiés – Chaque découverte dans un audit complet inclut un exploit de preuve de concept fonctionnel, afin que vous voyiez la faille avant de la corriger. 3. Couverture CI/CD – Après l'audit initial, chaque PR, demande de fusion et commit est automatiquement analysé via l'application GitHub, les Actions ou un webhook GitLab, assurant une couverture continue entre les audits. 4. Mémoire du projet – L'outil conserve une mémoire par projet (documents, contexte, découvertes antérieures), permettant à chaque analyse de mieux comprendre votre base de code que la précédente. 5. Native aux outils de développement – Disponible via une API REST, l'CLI qs, MCP pour Cursor et Claude, et les projets Foundry. Importez depuis GitHub, GitLab, des fichiers zip ou des fichiers .sol.

Tout le monde connaît ce qui s’est passé avec Ledger récemment. Mais quelle est la vraie leçon ? Un revendeur avait des appareils physiquement modifiés. L’implant observait l’écran pendant la configuration, volait la graine de 24 mots et l’envoyait via LTE. Le Secure Element n’a jamais été touché. Le contrôle d’authenticité a quand même passé. Ce n’est pas seulement un problème de Ledger. Cela s’applique à tout produit physique que vous achetez : un autre portefeuille matériel, un téléphone d’occasion, un appareil « neuf » provenant d’un revendeur, tout ce qui se trouve entre l’usine et vos mains. Votre sécurité n’est aussi forte que le parcours que le produit a effectué pour vous atteindre. Des mesures de sécurité opérationnelle de base qui comptent vraiment : Achetez directement sur le site web du fabricant dès que possible. Cela élimine la plupart des risques liés à la chaîne d’approvisionnement matérielle. • Pour des fonds plus importants → utilisez uniquement le multisig. Un appareil compromis ne peut rien déplacer seul. • Contre les exploits logiciels : réinitialisez / réinstallez la machine (ou l’environnement clé) deux ou trois fois avant de la considérer comme propre. • Ne faites jamais confiance à une graine (ou à des données privées) provenant d’un appareil dont l’origine vous inspire le moindre doute. • Testez d’abord avec de petits montants. Supposez le pire lors de la première configuration. Le matériel fonctionne toujours. Soyez toujours paranoïaques en matière de sécurité.

Si la prise de contrôle signalée d’@OpenAI par @trailofbits se produit, je pense que cela pourrait être un signal majeur pour l’avenir de la cybersécurité. Trail of Bits a construit sa réputation grâce à des recherches de sécurité sérieuses, des outils open source et une expertise technique approfondie. Sa collaboration avec OpenAI sur le projet « Patch the Planet » montre également comment l’IA et l’expertise en sécurité peuvent se combiner pour identifier et corriger des vulnérabilités à grande échelle. Mais pourquoi acquérir une entreprise de sécurité ? Les laboratoires d’IA de pointe ont besoin de bien plus que de meilleurs modèles. Ils ont besoin d’expertise en sécurité du monde réel, de jeux de données sur les vulnérabilités et de personnes qui comprennent comment les logiciels échouent. Une équipe comme Trail of Bits pourrait aider à améliorer la manière dont les modèles découvrent, analysent et corrigent les vulnérabilités. Pour Trail of Bits, les avantages sont tout aussi intéressants : plus de capital, des ressources accrues et un accès potentiellement plus profond aux modèles de pointe. Imaginez combiner son expertise en sécurité avec des systèmes d’IA de plus en plus performants. La question plus large est de savoir si cela deviendra une tendance. Je ne serais pas surpris si d’autres laboratoires d’IA, y compris des entreprises chinoises d’IA de pointe, poursuivent des partenariats ou des acquisitions similaires. Les entreprises de sécurité Web3 pourraient également faire partie de ce changement. Imaginez un laboratoire d’IA de pointe acquérir une entreprise comme @CertiK ou établir un partenariat stratégique approfondi avec l’une d’elles. Nous avons déjà observé une consolidation dans la sécurité Web3, comme l’acquisition de @code4rena par @zellic_io. L’IA pourrait encore accélérer cette tendance. Mais il y a un piège. Alors que l’IA rend la découverte de vulnérabilités moins coûteuse et plus évolutive, la valeur du travail en sécurité pourrait évoluer. Les audits entièrement manuels pourraient faire face à une pression croissante, tandis que les chercheurs capables d’utiliser l’IA pour découvrir des bogues plus profonds et plus complexes deviendront encore plus précieux. Mon enseignement ? Apprenez à travailler avec les LLM. Développez des outils. Découvrez des bogues. Publiez des recherches. Construisez une réputation. L’avenir n’appartiendra peut-être pas aux auditeurs qui rivalisent avec l’IA, mais à ceux qui savent l’utiliser mieux que tout le monde. La cybersécurité entre dans une nouvelle phase, et la sécurité Web3 n’y échappera pas.

Dommage d’entendre cela. Un point clé à retenir ici est que conserver un montant important de fonds dans un seul wallet crée un point de défaillance unique majeur. Quelques pratiques de base permettant de réduire significativement le risque : → Répartir les montants importants sur plusieurs wallets au lieu de tout conserver en un seul endroit. → Utiliser des wallets matériels/froids pour les avoirs importants. Garder les clés isolées des systèmes en ligne les rend beaucoup plus difficiles à compromettre à distance. → Utiliser des multisigs pour les montants plus élevés. Exiger plusieurs signatures indépendantes signifie qu’une seule signature/clé compromise ne suffit pas à déplacer les fonds. → Une forte sécurité @opsek_io est essentielle. Comprenez ce que vous signez, où vos clés sont stockées, qui y a accès, et quelles informations vous partagez publiquement. Aucune de ces mesures n’est une solution miracle, mais ensemble, elles peuvent réduire considérablement l’impact d’une compromission. N’hésitez pas à m’envoyer un message privé pour toute question ou aide. Je suis heureux d’aider autant que possible.

Félicitations à toutes les équipes sélectionnées pour Base Batches 004 👏 En tant qu’entreprise de sécurité, nous croyons que la sécurité doit être intégrée dès le départ, et non ajoutée après le premier incident. Voici quelques points à considérer pour chaque équipe pendant son développement : 1. OpSec + sécurité de l’infrastructure La sécurité commence par votre équipe. Formez vos employés et votre équipe centrale aux meilleures pratiques de sécurité, notamment les conseils de @opsek_io, la sensibilisation au phishing, la sécurité des comptes, la gestion des clés et l’ingénierie sociale. Toujours participer aux réunions importantes et accéder aux systèmes critiques à partir d’ordinateurs ou appareils professionnels dédiés, et non depuis des appareils personnels. Votre équipe est souvent la première ligne de défense. Un seul appareil, compte ou employé compromis peut devenir le point d’entrée d’une attaque bien plus importante. 2. Multisig + appareils sécurisés Vous recevez 100 000 $ de financement ; utilisez une partie de ces fonds pour investir dans la sécurité. Obtenez des portefeuilles matériels comme @Ledger, utilisez des multisigs pour les fonds critiques et conservez des appareils dédiés exclusivement aux opérations professionnelles/crypto. N’utilisez pas le même appareil pour tout. Séparer les activités professionnelles, personnelles et les opérations de signature critiques réduit les risques qu’un malware ou un appareil compromis atteigne vos systèmes les plus sensibles. Une seule clé compromise ne devrait jamais suffire à causer des dommages graves. Pour une analyse multisig sécurisée, vous pouvez intégrer notre produit : https://t.co/85ArM12r7p 3. Sécurité du frontend Même si vos contrats sont parfaitement sécurisés, les utilisateurs peuvent toujours être dévalisés via un frontend compromis. Le phishing, la compromission DNS/domaine et les modifications malveillantes de l’interface sont des voies d’attaque courantes. Protégez l’interface avec laquelle vos utilisateurs interagissent réellement. 4. Surveillance chain-on + réponse aux incidents La sécurité ne s’arrête pas après le déploiement. Une surveillance 24/7 peut aider à détecter précocement des transactions inhabituelles, des changements d’administrateur, des mouvements de fonds suspects et d’autres anomalies. Et lorsque quelque chose se produit, la rapidité compte. Ayez un plan de réponse aux incidents clair, des rôles définis et la capacité à contenir rapidement une attaque. La sécurité a un coût. Mais le coût de ne pas sécuriser ce que vous construisez peut être bien plus élevé. Félicitations encore à toutes les équipes : construisez vite, mais construisez en toute sécurité. 🔐 Si vous souhaitez discuter de tout sujet lié à la sécurité, n’hésitez pas à m’envoyer un message privé ! CC : @SaturdayBank @mercatus_ai @contavcbr @Tribeca_xyz @Flovia402 @bitrepo_xyz @get_grow_app @GreekDotFi @LEDiG_Tech @RennFinance

Lisez « CyberChainBench : Les agents IA peuvent-ils sécuriser les contrats intelligents contre les vulnérabilités réelles sur chaîne ? » Une recherche très intéressante sur l’état actuel des agents IA en matière de sécurité des contrats intelligents. L’article évalue les agents IA sur 541 exploits réels répartis sur 9 chaînes EVM —> pas de vulnérabilités synthétiques ni de extraits de code statiques. Les agents devaient accomplir trois tâches : • Détecter la vulnérabilité • Reproduire l’exploit • Corriger la vulnérabilité Quelques-unes de mes prises de conscience 👇

J’ai conclu la table ronde d’aujourd’hui à @CoinFerenceX Sur la sécurisation du capital institutionnel : custody, exploitations et nouveau paysage des menaces Avec : Jason Jiang (CBO, @CertiK) Alex Horlan (CTO, @d0rsky @HackenProof) Jock Haslam (@jockhaslam @Hashlock_) Modérée par Adam Wasserman Nous avons approfondi les risques de custody, les exploitations réelles, les vulnérabilités de la chaîne de fournisseurs et le rôle évolutif de l’IA dans la sécurisation du capital institutionnel. Fiers de représenter @QuillAudits_AI comme une frontière en matière de sécurité RWA et de tokenisation, alors que nous continuons à construire une sécurité full-stack pour le monde on-chain.