QuillAuditsチームは@EFDevconのためにムンバイに到着しました。 私たちの監査員、研究者、開発者、マーケティングチーム、経営陣が現地で開催・講演し、Web3コミュニティと交流しています。 トークン化からブロックチェーンセキュリティまで、Web3の未来を形作る議論に参加できることを嬉しく思っています。 Devconで私たちに会いたい方は、 チームの動向を追跡し、どのイベントに参加しているかを確認して、UsePulseで登録してDevcon中にお会いください！ 👇 イベントスケジュールをご覧ください： https://t.co/15F1ESWie1

正直、タイトルを見て一瞬びっくりした。我々は8年以上も監査を販売してきたんだよ😅 でも、全文を読んだら、本当のポイントがより強く伝わってきた。クライアントが監査を嫌うのではなく、問題リストの代金を支払う前に、修正にどれだけのコストがかかるか分からない状況を嫌っているのだ。 そして正直、Web3セキュリティにも全く同じ問題がある。 ファウンダーたちは、メインネットリリースの直前まで監査を先延ばしにする。彼らにとっては、監査とは単なるPDFと請求書にすぎないからだ。そして報告書が届き、開発者が発見された問題を修正した後、チームはほとんど何も学ばない。 QuillShieldでは、この状況を実際に体験した。12人のエージェントによる監査では、あるセーフガードによってテストされた経路が遮断されたため、「却下済み」とされたバグについて、QuillShieldは別の攻撃経路を独自に発見した。QuillShieldはそのバグを検証するエクスプロイトテストを作成し、人間の監査員がメインネットのフォーク上で確認した。4人のレビュアーが、このバグは実在すると合意した。 AIエージェンシーでもセキュリティでも、実際に効果的なのは： チームの作業を深掘りしながら、チームに教えること 最高の発見は、チームが自らの実際のワークフローを示すことで生まれる 報告書だけを与えるのではなく、見つけたときよりも彼らをより良くすること 「監査は依然として行われる。ただ、最初に支払ってもらう対象になる必要はないのだ」 何かを構築してDevconに来られるなら、監査が終わった後もチームが長く安全であるための方法について話しましょう。DMはオープンです 🤝 良い記事ですね @lukepierceops 👇

正直、これは市場の動向についての客観的な見解というより、人々にBitcoinを売却させるためのマーケティング戦略に思える。 @PhonePe やその他のデジタル決済アプリを眺めてみれば、私たちはデジタル優先の世界へ向かっていることがわかる。人々は、テクノロジーが取引をより速く、簡単に、便利にするからこそ、現金を使わなくなっている。 Bitcoinやデジタル資産にも同じ変化が起きている。グローバルな迅速な取引、国境を越えた支払い、金融へのアクセス性、そして従来の中間業者に完全に依存せずに価値を振替できる能力だ。 あらゆるテクノロジーには限界とリスクがあるが、それゆえにその可能性を無視すべきではない。テクノロジーは問題を解決するために進化する。 本当の問いは、Bitcoinに欠点があるかどうかではなく、その長期的な有用性と採用が継続して拡大し続けることができるかどうかだ。新興テクノロジーを現在の市場パフォーマンスだけで評価すれば、より大きな図景を見逃すことになる。 AIエージェントは、サービスへの支払い、データへのアクセス、自律的なタスク実行の方法を必要とする。@base x402のようなプロトコルは、AIエージェントとサービス間のインターネットネイティブな支払いを可能にする。 AIエージェントがより高度になり、超知能へと進化するにつれて、プログラム可能な支払い、マシン間取引、許可不要な金融インフラへの需要は大きく拡大する可能性がある。 AIがより価値を増すからといって、Bitcoinやブロックチェーン、暗号資産が単に消え去るとは思わない。むしろ、AIエージェントの台頭は、ブロックチェーンとデジタル資産の新たなユースケースを生み出す可能性がある。 本当の問いは、AIと暗号資産のどちらが勝つのかではなく、両者がどのように共に進化して次世代のインターネットを構築するかだ。

成果を届けたチームに誇りを感じます。 開発者がこれを使うべき理由： 1. 検出率 – EVM-benchで84％。 2. 検証済みPoCの攻撃コード – 完全監査におけるすべての発見には、実際に動作する証明概念（PoC）攻撃コードが含まれており、修正する前に問題を確認できます。 3. CI/CD対応 – 初回監査後、GitHub App、Actions、またはGitLab webhookを介して、各PR、マージリクエスト、コミットが自動スキャンされ、監査間のカバレッジを継続的に維持します。 4. プロジェクトメモリ – ツールは各プロジェクトごとにメモリ（ドキュメント、コンテキスト、過去の発見）を保持し、各スキャンが前回よりもコードベースをより深く理解できます。 5. 開発ツールネイティブ – REST API、qs CLI、CursorおよびClaude用のMCP、Foundryプロジェクトを通じて利用可能。GitHub、GitLab、zipファイル、または.solファイルからインポートできます。

最近、Ledgerで何が起きたかは誰でも知っている。 しかし、本当の教訓は何だろうか？ ある小売業者がデバイスに物理的にインプラントを埋め込み、セットアップ中に画面を監視し、24語のシークレットフレーズを盗み、LTE経由で送信した。セキュアエレメントは一切触られていない。 Genuine Check も通過した。 これはLedgerだけの問題ではない。 工場からあなたの手元に届くまでの過程にある、どの物理的製品にも該当する。他のハードウェアウォレット、中古の携帯電話、小売業者からの「新品」デバイスなど、何でも該当する。 あなたのセキュリティは、その製品がどのようにしてあなたの手元に届いたかという経路の強さに依存する。 実際に意味のある基本的なOPSEC： 可能な限り、メーカーの公式ウェブサイトから直接購入する。これにより、ハードウェアサプライチェーンのリスクのほとんどを排除できる。 • 高額な資金の場合 → マルチシグのみを使用する。1台のデバイスが侵害されても、単独では資金を移動できない。 • ソフトウェア攻撃への対策：清浄とみなす前に、マシン（またはキーエンバイロメント）を2〜3回リセットまたは再インストールする。 • そのデバイスの出所に疑問がある場合、シークレットフレーズ（または機密データ）を決して信頼しない。 • 最初は少額でテストする。初回セットアップ時は最悪のケースを想定する。 ハードウェアは依然として機能する。 セキュリティについては常に警戒心を持ち続けよう。

もし報告されている@OpenAIと@trailofbitsの買収が実現した場合、これはサイバーセキュリティの未来に対する重要なシグナルになると私は考えます。 Trail of Bitsは、本格的なセキュリティ研究、オープンソースツールの開発、そして深い技術的専門知識を通じてその評判を築いてきました。彼らがOpenAIと「Patch the Planet」で協力したことは、AIとセキュリティ専門知識がどのように連携して大規模な脆弱性を発見・修正できるかを示しています。 では、なぜセキュリティ企業を買収するのでしょうか？ フロンティアAIラボには、より優れたモデルだけでなく、現実世界のセキュリティ専門知識、脆弱性データセット、ソフトウェアがどのように破綻するかを理解する人材が必要です。Trail of Bitsのようなチームは、モデルが脆弱性を発見し、その性質を理解し、修正する方法を改善するのに貢献できるでしょう。 Trail of Bitsにとっても、メリットは同様に興味深いものです：より多くの資本、より大きなリソース、そしてフロンティアモデルへのより深いアクセスです。そのセキュリティ専門知識と、ますます高度化するAIシステムを組み合わせることを想像してみてください。 より大きな問いは、これがトレンドになるかどうかです。 他のAIラボ、中国のフロンティアAI企業を含めて、同様の提携や買収を進める可能性に私は驚きません。Web3セキュリティ企業もこの動きに含まれるかもしれません。フロンティアAIラボが@CertiKのような企業を買収するか、あるいは深く戦略的なパートナーシップを結ぶ可能性を想像してみてください。 すでにWeb3セキュリティ分野では統合が進んでおり、@zellic_ioによる@code4renaの買収がその一例です。AIはこの傾向をさらに加速させる可能性があります。 しかし、注意すべき点もあります。 AIが脆弱性発見をより安価でスケーラブルにすることで、セキュリティ作業の価値は変化するかもしれません。純粋な手動監査は圧力を増す一方で、AIを活用してより深く複雑なバグを発見できる研究者は、さらに価値が高まるでしょう。 私の結論は？ LLMと協力して働く方法を学びましょう。ツールを開発し、バグを見つけ、研究を発表し、評判を築きましょう。 未来はAIと競う監査者ではなく、AIを他の誰よりも上手に使いこなせる者たちのものになるかもしれません。 サイバーセキュリティは新たな段階に入り、Web3セキュリティも例外ではありません。

このような状況を聞いて残念です。 ここで重要な教訓は、大量の資金を1つのウォレットに集中させると、大きな単一障害点となることです。 リスクを大幅に軽減できる基本的な実践方法をいくつかご紹介します： → すべてを1か所にまとめるのではなく、大量の資金を複数のウォレットに分散させましょう。 → 大額の資産にはハードウェアウォレットまたはコールドウォレットをご利用ください。鍵をオンラインシステムから隔離することで、リモートでの不正アクセスが非常に難しくなります。 → 大額の資金にはマルチシグをご利用ください。複数の独立した署名を必要とすることで、1つの署名者または鍵が侵害されただけでは資金を移動できません。 → 強力な@opsek_ioが重要です。自分が何に署名しているのか、鍵がどこに保存されているのか、誰がアクセスできるのか、そしてどのような情報を公開しているのかを理解しましょう。 これらすべてが万能の解決策ではありませんが、組み合わせることで、不正発生時の被害範囲を劇的に縮小できます。 ご質問やサポートが必要な場合は、DMでお気軽にお問い合わせください。可能な範囲でご支援いたします。

Base Batches 004に選出されたすべてのチームにおめでとうございます 👏 セキュリティ企業として、私たちはセキュリティは初回のインシデント後に追加するものではなく、最初から構築すべきだと考えています。 各チームが開発中に考慮すべきポイントをいくつかご紹介します： 1. OpSec + インフラセキュリティ セキュリティはあなたのチームから始まります。 従業員およびコアチームにセキュリティのベストプラクティスを教育してください。特に@opsek_ioのヒント、フィッシング対策、アカウントセキュリティ、キー管理、ソーシャルエンジニアリングについて学びましょう。 重要なミーティングに参加したり、重要なシステムにアクセスする際は、個人用デバイスではなく専用のワークラップトップまたはデバイスを使用してください。 あなたのチームはしばしば最初の防衛ラインです。1台の compromized デバイス、1つのアカウント、または1人の従業員が、より大きな攻撃の入口となる可能性があります。 2. マルチシグ + セキュアなデバイス 10万ドルの資金を獲得しました。その一部をセキュリティ投資に充てましょう。 @Ledgerのようなハードウェアウォレットを購入し、重要な資金にはマルチシグを使用し、ワーク／暗号通貨操作専用のデバイスを別途用意してください。 すべての用途に同じデバイスを使用しないでください。ワーク、個人活動、重要な署名操作を分離することで、マルウェアや compromized デバイスが最も機密性の高いシステムに到達するリスクを減らすことができます。 1つのキーが compromized になったとしても、重大な被害を引き起こすべきではありません。 安全なマルチシグスキャンをご希望の場合、以下の製品に統合できます： https://t.co/85ArM12r7p 3. フロントエンドセキュリティ 契約が完璧にセキュアであっても、フロントエンドが compromized であればユーザーの資金は奪われます。 フィッシング、DNS／ドメイン compromize、悪意のあるUI変更は一般的な攻撃経路です。ユーザーが実際に操作するインターフェースを保護してください。 4. オンチェーン監視 + インシデント対応 セキュリティはデプロイ後に終わりません。 24/7の監視により、異常なトランザクション、管理者変更、疑わしい資金移動その他の異常を早期に検出できます。 そして何かが発生した場合、 スピードが重要です。 明確なインシデント対応計画、定義された役割、そして攻撃を迅速に封じ込める能力を備えてください。 セキュリティにはコストがかかります。 しかし、あなたが構築しているものをセキュアにしないことによるコストは、それよりもはるかに高くなる可能性があります。 改めて、すべてのチームにおめでとうございます。速く構築するだけでなく、安全に構築してください。 🔐 セキュリティについて何かご質問や相談がある場合は、ぜひダイレクトメッセージでお気軽にお問い合わせください！ CC: @SaturdayBank @mercatus_ai @contavcbr @Tribeca_xyz @Flovia402 @bitrepo_xyz @get_grow_app @GreekDotFi @LEDiG_Tech @RennFinance

「CyberChainBench：AIエージェントは、実際のオンチェーン脆弱性からスマートコントラクトを守れるか？」を読む AIエージェントがスマートコントラクトセキュリティにおいて現在どの程度の能力を持っているかについて、非常に興味深い研究です。 この論文では、AIエージェントを9つのEVMチェーンに存在する541の実際の攻撃に対して評価しています——合成された脆弱性や静的コードスニペットではありません。 エージェントには以下の3つのタスクを実行させる必要がありました： ・脆弱性を検出する ・攻撃を再現する ・脆弱性をパッチで修正する 私の学びのポイント👇

@CoinFerenceX での本日のパネルディスカッションを終えました。 機関資本のセキュリティ：保管、不正アクセス、そして新たな脅威の構図 参加者： Jason Jiang（CBO、@CertiK） Alex Horlan（CTO、@d0rsky @HackenProof） Jock Haslam（@jockhaslam @Hashlock_） モデレーター：Adam Wasserman 保管リスク、現実の不正事例、ベンダー連鎖の脆弱性、そして機関資本のセキュリティにおけるAIの進化する役割について深く議論しました。 RWAおよびトークン化のセキュリティにおける最前線として、@QuillAudits_AI を代表し、オンチェーン世界全体のフルスタックセキュリティ構築を継続しています。