enam hal tentang mempelajari keamanan kontrak pintar yang tidak diajarkan oleh kursus, thread, atau peta jalan mana pun: 1. kesenjangan antara "saya bisa menjelaskan kerentanan ini" dan "saya bisa mengidentifikasi kerentanan ini di kode yang tidak dikenal" adalah pekerjaan sebenarnya. semua orang mengajarkan yang pertama. hampir tidak ada yang mengajarkan yang kedua. 2. setiap laporan audit yang Anda baca mengajari Anda sebanyak kursus apa pun, tetapi tidak ada yang memberi tahu Anda untuk membacanya. 3. primitif DeFi, Aave, Uniswap, pinjaman, AMM, bukanlah opsional. Anda tidak dapat mengaudit apa yang tidak Anda pahami. 4. keterampilan menulis laporan adalah setengah dari bayaran. Menemukan kerentanan hanyalah setengah lainnya. 5. AI adalah mitra belajar terbaik di dunia jika Anda menggunakannya dengan benar. Ini adalah cara tercepat untuk memalsukan kemajuan Anda sendiri jika Anda tidak melakukannya. tidak ada yang menilai kemajuan Anda. Kebebasan ini adalah intinya sekaligus bagian tersulit. tidak ada yang mengirimkan daftar ini kepada Anda. Anda menulisnya sendiri seiring berjalannya waktu.

kebanyakan orang memilih jalan yang lebih mudah. bukan karena mereka malas, tapi karena memang lebih mudah. lebih cepat menang, umpan balik yang lebih jelas, pekerjaan di akhir yang bisa benar-benar kamu jelaskan kepada orang tua kamu. saya memilih keamanan kontrak pintar. jalanannya sangat berat. siklus umpan baliknya berbulan-bulan. beberapa hari sulit untuk mengetahui apakah saya benar-benar maju sama sekali. tapi batas atasnya berbeda, dan keraguan yang saya rasakan kebanyakan malam hanyalah harga yang harus dibayar untuk mengejarnya. jika kamu juga berada di jalan yang sulit, kamu tidak perlu jalan itu menjadi lebih mudah. kamu hanya perlu terus hadir.

Baru saja mempertahankan proyek tahun akhir saya di universitas beberapa minggu lalu, sebuah sistem pemungutan suara blockchain untuk pemilu universitas. Verifikasi identitas menggunakan keccak256. Enam bulan kerja. Kemudian saya membaca tulisan BonkDAO minggu ini. $20 juta dicuri tanpa ada satu baris kode yang rentan. Penyerang hanya membeli cukup token untuk mengesahkan usulan tersebut. Sistem saya akan runtuh dengan cara yang sama. Kode saya bersih. Hashing identitas berfungsi. Penerapan checks-effects-interactions di mana-mana. Tapi saya tidak pernah memodelkan lapisan ekonomi. Saya tidak pernah bertanya apa yang terjadi ketika biaya untuk memperoleh kekuatan suara turun di bawah nilai yang dikendalikan oleh suara tersebut. Panel pertahanan saya juga tidak menangkapnya, karena itulah tempat yang tidak dilihat siapa pun di universitas. Kesenjangan antara kode Anda yang benar dan sistem yang aman adalah tempat pekerjaan sejati berada. Itulah bagian yang akan saya fokuskan selama beberapa tahun ke depan.

Baru saja menyelesaikan tugas akhir dan mempertahankan proyek saya. Perguruan tinggi secara resmi selesai. 7 bulan dalam bidang keamanan kontrak pintar. Tidak ada temuan sama sekali. Dan untuk pertama kalinya dalam hidup saya, saya memiliki seluruh hari saya sendiri. Jadi, saya memberikan 3 bulan ke depan satu tugas: temuan pertama yang valid sebelum 1 Oktober. Rutinitas harian: → Ethernaut challenge setiap hari → Menyelesaikan Advanced Foundry Course dari @CyfrinUpdraft → Membaca laporan Solodit untuk mempelajari bagaimana bug nyata ditemukan → Semuanya didokumentasikan di GitHub Tujuan pertama: First Flights. Saya jujur, berburu kerentanan nyata di kode basis nyata membuat saya takut. Tutorial membuat Anda merasa siap. Saya tahu saya mungkin belum siap. Tapi saya mendokumentasikan semuanya di sini. Kemenangan, penolakan, semuanya. Jika Anda juga baru memulai di bidang ini, ikuti perjalanan ini. Mari kita lihat seperti apa 90 hari fokus penuh itu sebenarnya.

7 bulan dalam keamanan kontrak pintar. Masih tidak menemukan apa-apa. Tapi saya memahami sesuatu tentang AI yang mengubah cara saya belajar. Saya terjebak gagal dalam pengujian Foundry selama berhari-hari. Terus meminta Claude memperbaikinya. Ia memperbaikinya. Lalu sesuatu yang lain rusak. Lingkaran tak pernah berakhir. Kemudian saya berhenti meminta perbaikan dan mulai meminta penjelasan. Tiba-tiba saya benar-benar memahami kode tersebut, bukan sekadar memperbaikinya. Perubahan kecil. Hasil yang sama sekali berbeda. Jika Anda seorang junior yang menggunakan AI untuk melewati bagian-bagian sulit, Anda sedang melewati satu-satunya bagian yang benar-benar membuat Anda menjadi ahli.

Sebagian besar orang memasuki web3 mencari uang cepat. Sangat sedikit yang bersedia melakukan pekerjaan teknis yang benar-benar menciptakannya. Semua orang menginginkan airdrop. Hampir tidak ada yang ingin memahami kontrak yang mendistribusikannya. Semua orang menginginkan yield. Hampir tidak ada yang ingin mengaudit protokol yang menghasilkannya. Peluangnya bukanlah pada hiruk-pikuknya, melainkan selalu pada celah antara seberapa banyak orang menginginkan imbalan dan seberapa sedikit yang bersedia melakukan pekerjaan di baliknya. Celah itu masih sangat terbuka.

Peretas sudah menggunakan AI untuk menemukan kerentanan. Orang-orang yang mempertahankan protokol masih berdebat apakah boleh menggunakannya. Coba renungkan sejenak. Sementara para whitehat sedang membahas etika penggunaan AI dalam keamanan, para blackhat sudah menjawab pertanyaan itu dan melangkah maju. Mereka menggunakannya untuk memindai basis kode lebih cepat, menghasilkan hipotesis eksploitasi, dan menemukan edge case yang dilewatkan oleh auditor manusia setelah sesi tinjauan panjang. Sisi serangan selalu bergerak lebih cepat daripada sisi pertahanan. AI hanya memperlebar kesenjangan itu. Ini bukan prediksi tentang masa depan keamanan. Ini adalah apa yang sudah terjadi sekarang. $2,1 miliar yang hilang karena eksploitasi tahun lalu tidak terjadi karena penyerang lebih cerdas. Itu terjadi karena mereka kurang ragu-ragu. Para auditor dan peneliti yang mampu memanfaatkan AI sebagai senjata sebelum target mereka melakukannya adalah orang-orang yang akan menentukan seperti apa keamanan web3 dalam 3 tahun mendatang. Mereka yang menunggu izin sudah tertinggal.

Saya hampir menyerah di bulan keempat dalam bidang keamanan kontrak pintar karena seseorang yang memulai bersama saya mendapatkan temuan pertamanya sebelum saya. Tanggal mulai yang sama. Sumber daya yang sama. Hasil yang berbeda. Dan saya menganggapnya secara pribadi. Yang tidak saya sadari adalah mereka berburu selama 6 jam sehari, sementara saya masih berada di mode tutorial. Tampilan waktu terlihat sama dari luar, tetapi inputnya sama sekali berbeda. Pemahaman ini adalah sesuatu yang masih aktif saya usahakan: beralih dari memperhatikan apa yang dilakukan orang lain menjadi hanya menanamkan jam kerja yang belum terlihat. Anda tidak ketinggalan dari orang-orang yang lebih maju. Anda hanya tidak melihat apa yang sebenarnya mereka lakukan untuk sampai ke sana.

Sebagian besar orang berpikir bahwa memasuki bidang keamanan kontrak pintar memerlukan gelar ilmu komputer, bertahun-tahun pengalaman, atau izin khusus. Itu tidak benar. Yang benar-benar dibutuhkan adalah kesediaan untuk duduk bersama kode yang tidak masuk akal, terlihat bodoh saat belajar di depan umum, dan tetap datang lagi keesokan harinya. Hambatannya bukan teknis. Itu psikologis. Dan itu sebenarnya kabar baik, karena hambatan psikologis adalah yang bisa Anda pilih untuk lewati.

Di web2, jika seseorang membobol Anda, Anda membekukan akun, menghubungi bank, dan melibatkan penegak hukum. Di web3, transaksi bersifat final. Tidak ada pembekuan, tidak ada pembatalan, tidak ada nomor dukungan pelanggan. Kode adalah hukum, yang terdengar kuat sampai kode tersebut memiliki bug. Lalu kode hanyalah kesalahan mahal yang tidak ada yang bisa membatalkannya. Inilah mengapa keamanan di web3 bukanlah pilihan. Ini adalah fondasi seluruhnya.