Tim QuillAudits telah tiba di Mumbai untuk @EFDevcon Auditor, peneliti, pengembang, tim pemasaran, dan kepemimpinan kami berada di kota ini untuk menyelenggarakan, berbicara, dan berkoneksi dengan komunitas Web3. Dari tokenisasi hingga keamanan blockchain, kami senang menjadi bagian dari percakapan yang membentuk masa depan Web3. Jika Anda ingin bertemu dengan kami di Devcon, Pantau ke mana tim kami akan pergi, lihat siapa yang menghadiri acara apa, dan daftar di UsePulse untuk menemukan kami sepanjang Devcon! 👇 Lihat jadwal acara kami: https://t.co/15F1ESWie1

Judulnya sempat membuatku takut sebentar. Kami sudah menjual audit selama lebih dari 8 tahun 😅 Lalu saya membaca seluruhnya, dan inti sebenarnya menjadi lebih jelas. Klien tidak membenci audit, mereka membenci membayar untuk daftar masalah sebelum mengetahui berapa biaya untuk memperbaikinya. Dan jujur, keamanan web3 mengalami masalah yang persis sama. Para pendiri menunda audit hingga minggu terakhir sebelum mainnet karena bagi mereka itu hanyalah PDF dan tagihan. Lalu laporan itu tiba, para pengembang memperbaiki temuan-temuan tersebut, dan tim hampir tidak belajar apa-apa. Kami melihat ini langsung dengan QuillShield. QuillShield secara independen menemukan jalur serangan yang berbeda terhadap bug yang telah ditandai sebagai tidak valid oleh audit 12 agen setelah sebuah pengaman memblokir jalur yang diuji. QuillShield menulis tes eksploitasi yang berhasil, dan seorang auditor manusia memverifikasinya pada fork mainnet. Empat reviewer sepakat bahwa bug tersebut nyata. Apa yang benar-benar efektif, baik di agensi AI maupun di keamanan: Ajari tim sambil menggali pekerjaan mereka Temuan terbaik datang dari orang-orang yang menunjukkan alur kerja nyata mereka Tinggalkan mereka dalam kondisi lebih baik daripada saat Anda menemukan mereka, bukan hanya dengan sebuah laporan "Audit tetap terjadi. Hanya saja, tidak harus menjadi hal yang Anda minta mereka bayar di awal." Membangun sesuatu dan akan datang ke Devcon? Mari bicara tentang bagaimana tim Anda tetap aman jauh setelah audit selesai. DM saya terbuka 🤝 Bacaan yang bagus @lukepierceops 👇

Jujur, ini terasa lebih seperti strategi pemasaran untuk meyakinkan orang menjual Bitcoin mereka daripada pandangan objektif tentang arah pasar. Kita sedang bergerak menuju dunia digital pertama, lihatlah @PhonePe dan aplikasi pembayaran digital lainnya. Orang-orang beralih ke uang tanpa tunai karena teknologi membuat transaksi lebih cepat, lebih mudah, dan lebih nyaman. Perubahan yang sama sedang terjadi dengan Bitcoin dan aset digital: transaksi global yang lebih cepat, pembayaran tanpa batas, akses keuangan yang lebih luas, serta kemampuan untuk mentransfer nilai tanpa bergantung sepenuhnya pada perantara tradisional. Setiap teknologi memiliki batasan dan risiko, tetapi itu tidak berarti kita harus mengabaikan potensinya. Teknologi berkembang untuk memecahkan masalah. Pertanyaan sebenarnya bukan apakah Bitcoin memiliki kelemahan, tetapi apakah utilitas dan adopsi jangka panjangnya dapat terus tumbuh. Menilai teknologi yang sedang berkembang hanya berdasarkan kinerja pasarnya saat ini mungkin membuat kita melewatkan gambaran yang lebih besar. Agen AI membutuhkan cara untuk membayar layanan, mengakses data, dan menjalankan tugas secara otonom. Protokol seperti @base x402 memungkinkan pembayaran natif internet antara agen AI dan layanan. Saat agen AI menjadi semakin canggih dan bergerak menuju kecerdasan super, kebutuhan akan pembayaran yang dapat diprogram, transaksi mesin-ke-mesin, dan infrastruktur keuangan tanpa izin bisa meningkat secara signifikan. Saya tidak berpikir Bitcoin, blockchain, atau crypto akan hilang begitu saja karena AI menjadi semakin berharga. Justru, kemajuan agen AI bisa menciptakan kasus penggunaan baru untuk blockchain dan aset digital. Pertanyaan sebenarnya bukan apakah AI atau crypto yang akan menang. Tetapi bagaimana keduanya akan berkembang bersama untuk membangun generasi berikutnya dari internet.

Bangga pada tim karena telah merilisnya. Alasan mengapa pengembang harus menggunakannya: 1. Tingkat deteksi – 84% pada EVM-bench. 2. Eksploit PoC yang telah diverifikasi – Setiap temuan dalam audit penuh mencakup eksploit proof-of-concept yang berfungsi, sehingga Anda melihat kelemahan sebelum memperbaikinya. 3. Cakupan CI/CD – Setelah audit awal, setiap PR, merge request, dan commit dipindai secara otomatis melalui GitHub App, Actions, atau webhook GitLab, menjaga cakupan berkelanjutan di antara audit. 4. Memori proyek – Alat ini menyimpan memori per proyek (dokumen, konteks, temuan sebelumnya), memungkinkan setiap pemindaian memahami basis kode Anda lebih baik dari sebelumnya. 5. Native untuk alat pengembang – Tersedia melalui REST API, qs CLI, MCP untuk Cursor dan Claude, serta proyek Foundry. Impor dari GitHub, GitLab, file zip, atau file .sol.

Semua orang tahu apa yang terjadi dengan Ledger baru-baru ini. Tetapi apa pelajaran nyatanya? Seorang reseller memiliki perangkat yang secara fisik diimplan. Implan tersebut memantau layar selama pengaturan, mencuri seed 24 kata, dan mengirimkannya melalui LTE. Secure Element tidak pernah tersentuh. Genuine Check tetap lulus. Ini bukan hanya masalah Ledger. Ini berlaku untuk semua produk fisik yang Anda beli: hardware wallet lain, ponsel bekas, perangkat "baru" dari reseller, apa pun yang berada di antara pabrik dan tangan Anda. Keamanan Anda hanya sekuat jalur yang dilalui produk tersebut hingga sampai ke tangan Anda. OPSEC dasar yang benar-benar penting: Beli langsung dari situs web produsen sebisa mungkin. Menghilangkan sebagian besar risiko rantai pasokan perangkat keras. • Untuk dana lebih besar → hanya gunakan multisig. Satu perangkat yang terkompromi tidak bisa memindahkan apa pun sendiri. • Untuk mencegah eksploitasi perangkat lunak: reset / pasang ulang mesin (atau lingkungan kunci) dua atau tiga kali sebelum menganggapnya bersih. • Jangan pernah percaya seed (atau data pribadi) dari perangkat yang memiliki keraguan tentang asal-usulnya. • Uji dengan jumlah kecil terlebih dahulu. Asumsikan yang terburuk saat pengaturan pertama. Perangkat keras tetap berfungsi. Selalu waspada terhadap keamanan.

Jika akuisisi @OpenAI dan @trailofbits yang dilaporkan terwujud, saya pikir ini bisa menjadi sinyal besar bagi masa depan keamanan siber. Trail of Bits telah membangun reputasinya melalui penelitian keamanan serius, alat open source, dan keahlian teknis mendalam. Kolaborasinya dengan OpenAI dalam proyek “Patch the Planet” juga menunjukkan bagaimana AI dan keahlian keamanan dapat bergabung untuk menemukan serta memperbaiki kerentanan secara skala besar. Tapi mengapa mengakuisisi perusahaan keamanan? Laboratorium AI frontier membutuhkan lebih dari sekadar model yang lebih baik. Mereka membutuhkan keahlian keamanan dunia nyata, kumpulan data kerentanan, dan orang-orang yang memahami bagaimana perangkat lunak gagal. Tim seperti Trail of Bits dapat membantu meningkatkan cara model menemukan, bernalar, dan memperbaiki kerentanan. Bagi Trail of Bits, peluangnya pun sama menariknya: lebih banyak modal, sumber daya yang lebih besar, dan akses yang lebih dalam ke model frontier. Bayangkan menggabungkan keahlian keamanannya dengan sistem AI yang semakin canggih. Pertanyaan lebih besar adalah apakah ini akan menjadi tren. Saya tidak akan terkejut jika laboratorium AI lain, termasuk perusahaan AI frontier Tiongkok, mengejar kemitraan atau akuisisi serupa. Perusahaan keamanan Web3 juga bisa menjadi bagian dari pergeseran ini. Bayangkan sebuah laboratorium AI frontier mengakuisisi perusahaan seperti @CertiK atau membangun kemitraan strategis mendalam dengannya. Kita sudah melihat konsolidasi di keamanan Web3, seperti akuisisi @zellic_io terhadap @code4rena. AI bisa mempercepat tren ini lebih jauh. Tapi ada masalahnya. Karena AI membuat penemuan kerentanan lebih murah dan lebih skalabel, nilai pekerjaan keamanan mungkin bergeser. Audit murni manual mungkin menghadapi tekanan yang semakin besar, sementara peneliti yang mampu menggunakan AI untuk menemukan bug yang lebih dalam dan lebih kompleks akan menjadi semakin berharga. Kesimpulan saya? Pelajari cara bekerja dengan LLM. Bangun alat. Temukan bug. Publikasikan penelitian. Bangun reputasi. Masa depan mungkin tidak dimiliki oleh auditor yang bersaing melawan AI, tetapi oleh mereka yang tahu cara menggunakannya lebih baik daripada yang lain. Keamanan siber memasuki fase baru, dan keamanan Web3 tidak akan kebal.

Sangat disayangkan mendengar hal ini. Satu pelajaran penting di sini adalah bahwa menyimpan sejumlah besar dana di satu dompet saja menciptakan titik kegagalan tunggal yang besar. Beberapa praktik dasar yang dapat secara signifikan mengurangi risiko: → Pisahkan jumlah besar ke beberapa dompet, bukan menyimpan semuanya di satu tempat. → Gunakan dompet perangkat keras/dingin untuk simpanan signifikan. Menyimpan kunci terpisah dari sistem daring membuatnya jauh lebih sulit untuk dikompromikan dari jarak jauh. → Gunakan multisig untuk jumlah yang lebih besar. Persyaratan tanda tangan independen ganda berarti mengompromikan satu penandatangan/kunci saja tidak cukup untuk memindahkan dana. → Keamanan @opsek_io yang kuat sangat penting. Pahami apa yang Anda tandatangani, di mana kunci Anda disimpan, siapa yang memiliki akses ke kunci tersebut, dan informasi apa yang Anda bagikan secara publik. Tidak ada satu pun dari ini yang menjadi solusi ajaib, tetapi bersama-sama mereka dapat secara drastis mengurangi dampak dari kompromi. Jangan ragu untuk DM saya jika ada pertanyaan atau bantuan. Saya siap membantu sejauh yang saya bisa.

Selamat kepada semua tim yang terpilih untuk Base Batches 004 👏 Sebagai perusahaan keamanan, kami percaya keamanan harus dibangun sejak hari pertama, bukan ditambahkan setelah insiden pertama. Beberapa hal yang harus dipertimbangkan setiap tim saat membangun: 1. OpSec + keamanan infrastruktur Keamanan dimulai dari tim Anda. Latih karyawan dan tim inti Anda tentang praktik terbaik keamanan, terutama tips dari @opsek_io, kesadaran phishing, keamanan akun, manajemen kunci, dan rekayasa sosial. Selalu hadiri pertemuan penting dan akses sistem kritis dari perangkat kerja khusus, bukan perangkat pribadi. Tim Anda sering kali menjadi garis pertahanan pertama. Satu perangkat, akun, atau karyawan yang terkompromikan bisa menjadi titik masuk untuk serangan yang jauh lebih besar. 2. Multisig + perangkat aman Anda mendapatkan pendanaan $100K, gunakan sebagian dana itu untuk berinvestasi dalam keamanan. Gunakan hardware wallet seperti @Ledger, terapkan multisig untuk dana kritis, dan gunakan perangkat terpisah yang khusus untuk operasi kerja/crypto. Jangan gunakan perangkat yang sama untuk segala hal. Memisahkan aktivitas kerja, pribadi, dan operasi penandatanganan kritis mengurangi kemungkinan malware atau perangkat yang terkompromisi mencapai sistem paling sensitif Anda. Satu kunci yang terkompromiasi seharusnya tidak cukup untuk menyebabkan kerusakan serius. Untuk pemindaian multisig yang aman, Anda dapat mengintegrasikan produk kami: https://t.co/85ArM12r7p 3. Keamanan frontend Kontrak Anda bisa sempurna aman, tetapi pengguna tetap bisa kehilangan dana melalui frontend yang terkompromisi. Phishing, kompromi DNS/domain, dan perubahan UI jahat adalah jalur serangan umum. Lindungi antarmuka yang benar-benar diinteraksi pengguna Anda. 4. Pemantauan on-chain + respons insiden Keamanan tidak berhenti setelah peluncuran. Pemantauan 24/7 dapat membantu mendeteksi transaksi tidak biasa, perubahan admin, pergerakan dana mencurigakan, dan anomali lainnya sejak dini. Dan ketika sesuatu terjadi, kecepatan sangat penting. Miliki rencana respons insiden yang jelas, peran yang terdefinisi, dan kemampuan untuk segera menahan serangan. Keamanan membutuhkan biaya. Tetapi biaya tidak mengamankan apa yang Anda bangun bisa jauh lebih tinggi. Selamat lagi kepada semua tim—bangun cepat, tapi bangun dengan aman. 🔐 Jika Anda ingin membahas apa pun tentang keamanan, jangan ragu untuk DM saya! CC: @SaturdayBank @mercatus_ai @contavcbr @Tribeca_xyz @Flovia402 @bitrepo_xyz @get_grow_app @GreekDotFi @LEDiG_Tech @RennFinance

Baca “CyberChainBench: Dapatkah Agen AI Mengamankan Kontrak Pintar Terhadap Kerentanan Dunia Nyata di Atas Rantai?” Penelitian yang sangat menarik tentang sejauh mana agen AI saat ini dalam hal keamanan kontrak pintar. Paper ini mengevaluasi agen AI terhadap 541 eksploitasi dunia nyata di 9 rantai EVM —> bukan kerentanan sintetis atau potongan kode statis. Agen harus melakukan tiga hal: • Mendeteksi kerentanan • Mereproduksi eksploitasi • Memperbaiki kerentanan Beberapa poin penting saya 👇

Menutup sesi panel hari ini di @CoinFerenceX Tentang Mengamankan Modal Institusional: Custody, Eksploitasi, dan Lanskap Ancaman Baru Dengan partisipasi: Jason Jiang (CBO, @CertiK) Alex Horlan (CTO, @d0rsky @HackenProof) Jock Haslam (@jockhaslam @Hashlock_) Dimoderatori oleh Adam Wasserman Kami membahas secara mendalam mengenai risiko custody, eksploitasi dunia nyata, kerentanan rantai vendor, dan peran berkembang AI dalam mengamankan modal institusional. Bangga mewakili @QuillAudits_AI sebagai pelopor keamanan RWA dan tokenisasi, sambil terus membangun keamanan full-stack untuk dunia on-chain.