Six choses sur l’apprentissage de la sécurité des contrats intelligents que aucun cours, fil ou parcours ne vous prépare à affronter : 1. L’écart entre « je peux expliquer ce bug » et « je peux repérer ce bug dans un code inconnu » constitue le vrai travail. Tout le monde enseigne le premier. Presque personne ne enseigne le second. 2. Chaque rapport d’audit que vous lisez vous apprend autant qu’un cours, mais personne ne vous dit de les lire. 3. Les primitives DeFi, Aave, Uniswap, le prêt, les AMM, ne sont pas optionnelles. Vous ne pouvez pas auditer ce que vous ne comprenez pas. 4. La capacité à rédiger un compte rendu représente la moitié de la rémunération. Trouver le bug n’en constitue que l’autre moitié. 5. L’IA est le meilleur partenaire d’étude au monde si vous l’utilisez correctement. C’est le moyen le plus rapide de simuler votre propre progression si vous ne le faites pas. Personne ne note votre progression. Cette liberté est à la fois le but et la partie la plus difficile. Personne ne vous envoie cette liste. Vous la rédigez vous-même au fur et à mesure.

La plupart des gens choisissent le chemin le plus facile. Pas parce qu’ils sont paresseux, mais parce qu’il est plus simple. Plus rapide, des retours plus clairs, un emploi en fin de parcours que vous pouvez réellement expliquer à vos parents. J’ai choisi la sécurité des contrats intelligents. La pente est brutale. Le cycle de retour prend des mois. Certains jours, il est difficile de dire si j’ai avancé du tout. Mais le plafond est différent, et le doute que je ressens la plupart des nuits n’est que le prix à payer pour viser cet objectif. Si vous aussi vous empruntez un chemin difficile, vous n’avez pas besoin qu’il devienne plus facile. Vous avez simplement besoin de continuer à vous présenter.

J’ai défendu mon projet de fin d’études à l’université il y a quelques semaines : un système de vote sur blockchain pour les élections universitaires, avec vérification d’identité Keccak256. Six mois de travail. Puis j’ai lu l’analyse de BonkDAO cette semaine : 20 millions de dollars volés sans qu’aucune ligne de code soit vulnérable. L’attaquant a simplement acheté suffisamment de jetons pour faire passer la proposition. Mon système aurait cédé de la même manière. Le code était propre, le hachage d’identité fonctionnait, les checks-effects-interactions étaient appliqués partout. Mais je n’ai jamais modélisé la couche économique. Je n’ai jamais demandé ce qui se passait lorsque le coût pour acquérir le pouvoir de vote tombait en dessous de la valeur de ce que le vote contrôlait. Mon jury n’a pas non plus repéré ce défaut, car ce n’est pas là que tout le monde regarde à l’université. L’écart entre le fait que votre code soit correct et que le système soit sécurisé, c’est là que réside le vrai travail. C’est cette partie que je choisis de concentrer les prochaines années.

Je viens de rendre mes derniers travaux et de défendre mon projet. L’université est officiellement terminée. 7 mois dans la sécurité des contrats intelligents. Aucune découverte. Et pour la première fois de ma vie, je possède entièrement ma journée. Je vais donc consacrer les 3 prochains mois à un seul objectif : obtenir ma première découverte valide avant le 1er octobre. La routine quotidienne : → Défier Ethernaut chaque jour → Terminer le cours avancé CyfrinUpdraft Foundry → Lire les rapports Solodit pour comprendre comment les vraies vulnérabilités sont découvertes → Tout documenté sur GitHub Première étape : First Flights. Je suis honnête : chasser des vulnérabilités réelles dans des bases de code réelles me fait peur. Les tutoriels donnent l’impression d’être prêt. Je sais probablement que je ne le suis pas encore. Mais je documente tout ici : les réussites, les rejets, tout. Si vous êtes aussi au début dans ce domaine, suivez-moi. Voyons ce que 90 jours de concentration totale donnent vraiment.

7 mois après le début de la sécurité des contrats intelligents. Aucune découverte jusqu’à présent. Mais j’ai compris quelque chose sur l’IA qui a changé ma façon d’apprendre. J’étais bloqué pendant des jours sur des tests Foundry qui échouaient. Je demandais constamment à Claude de les corriger. Il le faisait. Puis autre chose se cassait. La boucle n’avait jamais de fin. Ensuite, j’ai cessé de demander des corrections et j’ai commencé à demander des explications. Soudain, je comprenais réellement le code au lieu de simplement le patcher. Un petit changement. Un résultat complètement différent. Si vous êtes junior et que vous utilisez l’IA pour contourner les parties difficiles, vous contournez la seule partie qui vous rend vraiment bon.

La plupart des gens sont entrés dans Web3 à la recherche d'argent rapide. Très peu étaient prêts à accomplir le travail technique qui le crée réellement. Tout le monde voulait l'airdrop. Presque personne ne voulait comprendre le contrat qui le distribue. Tout le monde voulait le rendement. Presque personne ne voulait auditer le protocole qui le génère. L'opportunité n'était jamais dans l'engouement. Elle était toujours dans l'écart entre le nombre de personnes qui voulaient la récompense et le peu de personnes prêtes à accomplir le travail sous-jacent. Cet écart reste largement ouvert.

Les pirates utilisent déjà l’IA pour trouver des vulnérabilités. Les personnes qui défendent les protocoles débattent encore de l’acceptabilité de son utilisation. Laissez cela résonner un instant. Alors que les whitehats discutent éthiquement de l’IA en matière de sécurité, les blackhats ont déjà répondu à cette question et avancé. Ils l’utilisent pour analyser plus rapidement les bases de code, générer des hypothèses d’exploitation et identifier les cas limites que les auditeurs humains ignorent après une longue session d’analyse. Le côté attaque a toujours évolué plus vite que le côté défense. L’IA vient simplement d’élargir cet écart. Ce n’est pas une prédiction sur l’avenir de la sécurité, c’est ce qui se passe déjà. Les 2,1 milliards de dollars perdus en exploits l’année dernière ne sont pas dus à des attaquants plus intelligents, mais à des attaquants moins hésitants. Les auditeurs et chercheurs qui apprendront à utiliser l’IA comme une arme avant leurs cibles seront ceux qui définiront ce à quoi ressemblera la sécurité Web3 dans trois ans. Ceux qui attendent une autorisation sont déjà en retard.

J’ai failli abandonner la sécurité des contrats intelligents au quatrième mois parce que quelqu’un avec qui j’avais commencé a trouvé sa première vulnérabilité avant moi. Même date de départ. Mêmes ressources. Résultat différent. Et je l’ai pris personnellement. Ce que je ne voyais pas, c’est qu’il cherchait six heures par jour, tandis que j’étais encore en mode tutoriel. Le calendrier semblait identique de l’extérieur, mais les efforts étaient complètement différents. Cette prise de conscience est quelque chose sur lequel je travaille activement : passer de l’observation de ce que tout le monde fait à simplement mettre les heures nécessaires, même celles qui ne sont pas visibles. Vous n’êtes pas en retard par rapport aux personnes qui vous précèdent. Vous ne voyez tout simplement pas ce qu’elles font réellement pour y arriver.

La plupart des gens pensent qu’entrer dans la sécurité des contrats intelligents exige un diplôme en informatique, des années d’expérience ou une autorisation spéciale. Ce n’est pas le cas. Ce dont il s’agit vraiment, c’est d’être prêt à rester avec du code qui n’a aucun sens, à paraître stupide en apprenant en public, et à revenir le lendemain de toute façon. La barrière n’est pas technique. Elle est psychologique. Et c’est en réalité une bonne nouvelle, car les barrières psychologiques sont celles que vous pouvez choisir de franchir.

Dans le web2, si quelqu’un vous pirate, vous gélez les comptes, appelez la banque et impliquez les forces de l’ordre. Dans le web3, la transaction est définitive. Il n’y a ni gel, ni annulation, ni numéro de support client. Le code est la loi, ce qui semble puissant… jusqu’à ce que le code contienne une faille. Alors, le code n’est qu’une erreur coûteuse que personne ne peut annuler. C’est pourquoi la sécurité dans le web3 n’est pas facultative : c’est la base même.