स्मार्ट कॉन्ट्रैक्ट सुरक्षा सीखने के बारे में छह बातें जिनके लिए कोई कोर्स, थ्रेड या रोडमैप आपको तैयार नहीं करता: 1. "मैं इस बग की व्याख्या कर सकता हूँ" और "मैं अपरिचित कोड में इस बग को पहचान सकता हूँ" के बीच का अंतर वास्तविक काम है। सभी पहली बात सिखाते हैं। लगभग कोई भी दूसरी बात नहीं सिखाता। 2. आप जो भी ऑडिट रिपोर्ट पढ़ते हैं, वह किसी भी कोर्स के बराबर आपको सिखा रही है, लेकिन कोई आपको उन्हें पढ़ने के लिए नहीं कहता। 3. DeFi प्रिमिटिव्स, Aave, Uniswap, लेंडिंग, AMMs कोई वैकल्पिक बात नहीं हैं। आप वह ऑडिट नहीं कर सकते जिसे आप समझते नहीं हैं। 4. लिखने का कौशल पेमेंट का आधा हिस्सा है। बग ढूंढना केवल दूसरा आधा हिस्सा है। 5. AI सबसे अच्छा अध्ययन साथी है, अगर आप इसका सही तरीके से उपयोग करें। अगर आप नहीं करते, तो यह अपनी प्रगति को झूठा साबित करने का सबसे तेज़ तरीका है। कोई आपकी प्रगति का मूल्यांकन नहीं करता। यह स्वतंत्रता एक साथ मुख्य बात है और सबसे कठिन हिस्सा। कोई आपको यह सूची नहीं भेजता। आप इसे स्वयं लिखते हैं, जब आप आगे बढ़ते हैं।

अधिकांश लोग आसान रास्ता चुनते हैं। यह इसलिए नहीं कि वे आलसी हैं, बल्कि इसलिए कि यह आसान है। जल्दी जीतता है, स्पष्ट प्रतिक्रिया, और एक नौकरी जिसे आप अपने माता-पिता को वास्तव में समझा सकते हैं। मैंने स्मार्ट कॉन्ट्रैक्ट सुरक्षा चुनी। रैम्प कठिन है। प्रतिक्रिया चक्र महीनों का है। कुछ दिनों तो यह समझना कठिन होता है कि क्या मैंने आगे बढ़ा है। लेकिन छत अलग है, और जो संदेह मैं अधिकांश रातों में महसूस करता हूँ, वह इसे पाने के लिए प्रयास करने की कीमत है। अगर आप भी कठिन रास्ते पर हैं, तो आपको इसे आसान होने की जरूरत नहीं है। आपको सिर्फ लगातार मौजूद रहने की जरूरत है।

कुछ हफ्ते पहले मैंने अपने विश्वविद्यालय का अंतिम वर्ष का प्रोजेक्ट बचाया, जो विश्वविद्यालय चुनावों के लिए एक ब्लॉकचेन मतदान प्रणाली थी। keccak256 पहचान वेरिफ़िकेशन। छह महीने का काम। फिर इस हफ्ते मैंने bonkdao का व्राइटअप पढ़ा। $20 मिलियन की निकासी बिना किसी भी कमजोर पंक्ति के। हमलावर ने सिर्फ़ प्रस्ताव को पार करने के लिए पर्याप्त टोकन खरीदे। मेरी प्रणाली भी इसी तरह टूट जाती। कोड साफ़ था। पहचान हैशिंग काम कर रही थी। सबकहीं checks-effects-interactions थे। लेकिन मैंने कभी आर्थिक स्तर को मॉडल नहीं किया। मैंने कभी पूछा नहीं कि क्या होगा अगर मतदान शक्ति प्राप्त करने की लागत, मत के द्वारा नियंत्रित चीज़ के मूल्य से कम हो जाए। मेरे बचाव पैनल ने भी इसे नहीं पकड़ा, क्योंकि विश्वविद्यालय में कोई भी ऐसी जगह पर नहीं देखता। आपके कोड के सही होने और प्रणाली के सुरक्षित होने के बीच का अंतराल, वही है जहाँ असली काम होता है। मैं अगले कुछ सालों के लिए इसी पर ध्यान केंद्रित करने का फैसला कर रहा हूँ।

मैंने अपने अंतिम पेपर्स लिख दिए हैं और अपना प्रोजेक्ट बचाव कर लिया है। यूनिवर्सिटी अब आधिकारिक रूप से समाप्त हो गई है। स्मार्ट कॉन्ट्रैक्ट सुरक्षा में 7 महीने हो गए हैं। शून्य खोज। और मेरे जीवन में पहली बार मुझे पूरा दिन अपना मिला है। इसलिए मैं अगले 3 महीने को एक काम दे रहा हूँ: 1 अक्टूबर तक मेरी पहली मान्य खोज। दैनिक नियम: → हर दिन Ethernaut चैलेंज → @CyfrinUpdraft एडवांस्ड Foundry कोर्स पूरा करना → वास्तविक बग्स कैसे पाए जाते हैं, इसके बारे में Solodit रिपोर्ट्स पढ़ना → सब कुछ GitHub पर दस्तावेज़ीकृत किया जाएगा पहला स्टॉप: First Flights। मैं सच कहूँ, वास्तविक कोडबेस में वास्तविक कमजोरियों की खोज करना मुझे डराता है। ट्यूटोरियल्स आपको तैयार महसूस कराते हैं। मुझे पता है कि मैं संभवतः तैयार नहीं हूँ। लेकिन मैं पूरी प्रक्रिया को यहाँ दस्तावेज़ीकृत कर रहा हूँ। जीत, अस्वीकृति, सब कुछ। अगर आप भी इस क्षेत्र में शुरुआती हैं, तो साथ चलें। आइए देखें कि 90 दिनों की पूरी तरह से समर्पित प्रक्रिया कैसी दिखती है।

स्मार्ट कॉन्ट्रैक्ट सुरक्षा में 7 महीने। अभी तक कोई खोज नहीं। लेकिन मैंने AI के बारे में एक बात समझ ली जिसने मेरे सीखने का तरीका बदल दिया। मैं दिनों तक Foundry टेस्ट्स में फंसा रहा। मैंने लगातार Claude से उन्हें ठीक करने के लिए कहा। वह करता था। फिर कुछ और टूट जाता। यह चक्र कभी खत्म नहीं होता। फिर मैंने ठीक करने के लिए नहीं, बल्कि समझाने के लिए पूछना शुरू कर दिया। अचानक मैं कोड को सिर्फ पैच करने के बजाय समझने लगा। छोटा सा बदलाव। पूरी तरह से अलग परिणाम। अगर आप एक जूनियर हैं और AI का उपयोग कठिन हिस्सों को छोटा करने के लिए कर रहे हैं, तो आप सिर्फ उसी हिस्से को छोटा कर रहे हैं जो आपको असली में अच्छा बनाता है।

अधिकांश लोग त्वरित धन की तलाश में वेब3 में प्रवेश करते हैं। बहुत कम लोग ऐसे तकनीकी कार्य करने को तैयार थे जो वास्तव में इसे बनाते हैं। हर कोई एयरड्रॉप चाहता था। लगभग कोई भी इसे वितरित करने वाले कॉन्ट्रैक्ट को समझना नहीं चाहता था। हर कोई यील्ड चाहता था। लगभग कोई भी इसे उत्पन्न करने वाले प्रोटोकॉल की समीक्षा करना नहीं चाहता था। अवसर कभी हाइप में नहीं था। यह हमेशा उस अंतर में था जो उन लोगों की संख्या और कार्य करने को तैयार लोगों की संख्या के बीच था, जो पुरस्कार चाहते थे। यह अंतर अभी भी पूरी तरह से खुला हुआ है।

हैकर पहले से ही सुरक्षा विफलताएँ ढूंढने के लिए AI का उपयोग कर रहे हैं। जबकि प्रोटोकॉल की रक्षा करने वाले लोग अभी भी इसका उपयोग करना ठीक है या नहीं, इस पर बहस कर रहे हैं। इसे एक पल के लिए सोचिए। जब सफेद हैट्स सुरक्षा में AI के बारे में नैतिक चर्चाएँ कर रहे हैं, तो काले हैट्स पहले ही इस सवाल का जवाब दे चुके हैं और आगे बढ़ चुके हैं। वे कोडबेस की जाँच करने, दुरुपयोग की परिकल्पनाएँ बनाने और लंबी समीक्षा के बाद मानवीय समीक्षकों द्वारा छूट जाने वाले केसों को ढूंढने के लिए AI का उपयोग कर रहे हैं। हमले की ओर हमेशा से ही रक्षा की ओर से तेज़ी से आगे बढ़ी है। AI ने इस अंतर को और बढ़ा दिया है। यह सुरक्षा के भविष्य के बारे में एक भविष्यवाणी नहीं है। यह वही है जो पहले से ही हो रहा है। पिछले साल $2.1B का नुकसान हुआ, क्योंकि हमलावरों के पास स्मार्टनेस की कमी नहीं, बल्कि संशय की कमी थी। जो समीक्षक और शोधकर्ता AI को हथियार के रूप में प्रयोग करना सीखते हैं, पहले से ही प्रभावित होने वालों से पहले, वे ही 3 साल में web3 सुरक्षा का स्वरूप परिभाषित करेंगे। जो अनुमति का इंतज़ार करते हैं, वे पहले से ही पीछे हैं।

मैंने महीने 4 में स्मार्ट कॉन्ट्रैक्ट सुरक्षा छोड़ने के करीब हो गया क्योंकि मैंने जिसके साथ शुरुआत की थी, उसे मेरे से पहले अपनी पहली खोज मिल गई। एक ही शुरुआत की तारीख। एक ही संसाधन। अलग परिणाम। और मैंने इसे व्यक्तिगत रूप से लिया। जो मैंने नहीं देखा, वह यह था कि वे 6 घंटे प्रतिदिन हंटिंग कर रहे थे, जबकि मैं अभी ट्यूटोरियल मोड में था। बाहर से समयरेखा समान दिख रही थी। इनपुट पूरी तरह से अलग थे। यह एहसास कुछ ऐसा है जिस पर मैं अभी भी सक्रिय रूप से काम कर रहा हूँ—दूसरों के क्या कर रहे हैं, इसका निरीक्षण करने से बदलकर, केवल उन अदृश्य घंटों को लगाने पर। आप पीछे नहीं हैं, जो आपसे आगे हैं। आप सिर्फ़ यह नहीं देख पा रहे हैं कि वे वहाँ पहुँचने के लिए वास्तव में क्या कर रहे हैं।

अधिकांश लोग समझते हैं कि स्मार्ट कॉन्ट्रैक्ट सुरक्षा में प्रवेश करने के लिए कंप्यूटर साइंस की डिग्री, वर्षों का अनुभव, या कोई विशेष अनुमति की आवश्यकता होती है। ऐसा नहीं है। वास्तव में जिसकी आवश्यकता होती है, वह है—ऐसे कोड के साथ बैठने की इच्छा जिसका कोई मतलब नहीं होता, सार्वजनिक रूप से सीखते समय मूर्ख लगने की इच्छा, और अगले दिन फिर से आने की इच्छा। बाधा तकनीकी नहीं है। यह मनोवैज्ञानिक है। और यह वास्तव में अच्छी समाचार है, क्योंकि मनोवैज्ञानिक बाधाएँ वे ही होती हैं जिनसे आप चलने का चयन कर सकते हैं।

वेब2 में, अगर कोई आपको हैक कर दे, तो आप खाते जमा कर देते हैं, बैंक को फोन करते हैं, और कानून प्रवर्तन एजेंसियों को शामिल करते हैं। वेब3 में, लेन-देन अंतिम हो जाता है। कोई जमा नहीं, कोई रद्दीकरण नहीं, कोई कस्टमर सपोर्ट नंबर नहीं। कोड कानून है, जो तब शक्तिशाली लगता है जब तक कोड में बग नहीं होता। फिर कोड सिर्फ एक महंगी गलती हो जाता है जिसे कोई भी वापस नहीं कर सकता। यही कारण है कि वेब3 में सुरक्षा वैकल्पिक नहीं है। यह पूरी नींव है।