スマートコントラクトセキュリティを学ぶ際に、どのコースやスレッド、ロードマップも教えてくれない6つのこと： 1. 「このバグを説明できる」ことと「見知らぬコードでこのバグを発見できる」ことの間のギャップが、本当の仕事だ。誰もが最初のことを教える。ほぼ誰も、二番目を教えない。 2. あなたが読むすべての監査レポートは、どのコースよりも多くのことを教えてくれるが、誰もそれらを読むように言わない。 3. DeFiプリミティブ、Aave、Uniswap、貸し出し、AMMは選択肢ではない。理解できないものは監査できない。 4. レポート作成スキルは報酬の半分を占める。バグを見つけるのは残りの半分にすぎない。 5. AIは正しく使えば世界で最高の学習パートナーだ。使わなければ、自分の進捗を偽る最も速い方法でもある。 誰もあなたの進捗を評価しない。その自由こそが本質であり、同時に最も難しい部分だ。 誰もこのリストを送ってくれない。あなたは進む中で、自分で書き出すのだ。

ほとんどの人は、怠惰だからではなく、簡単だからより易しい道を選ぶ。速く結果が出て、フィードバックが明確で、親に説明できるような仕事が手に入るからだ。 私はスマートコントラクトセキュリティを選んだ。登り坂は厳しい。フィードバックのサイクルは数ヶ月かかる。ある日は、自分が本当に前進したのかさえ分からないこともある。 でも、到達可能な限界は違う。夜中に感じる疑念は、その目標を追い求めるための代償にすぎない。 あなたも厳しい道を歩んでいるなら、それを簡単にしなくてもいい。ただ、毎日姿を見せ続けるだけで十分だ。

数週間前に大学の卒業研究の最終発表を終えた。大学選挙用のブロックチェーン投票システムで、Keccak256による本人確認を採用。6ヶ月の開発期間だった。 今週、BonkDAOの事例報告を読んだ。脆弱なコードは1行も存在せず、攻撃者は単に提案を通過させるのに十分なトークンを購入しただけで、2,000万ドルが流出した。 私のシステムも同じように崩壊していたはずだ。 コードはクリーンで、本人確認のハッシュ処理は正しく機能し、Checks-Effects-Interactionsパターンは至る所で適用されていた。しかし、私は経済層をモデル化していなかった。投票権を取得するコストが、その投票が支配する対象の価値を下回った場合に何が起こるかを一度も問うていなかった。 私の審査委員会もそれに気づかなかった。なぜなら、大学では誰もそこを見ないからだ。 コードが正しくても、システムが安全であるとは限らない。その間のギャップこそが、真の課題が存在する場所だ。 これから数年間、私はこの部分に集中することにした。

最終論文を書き上げ、プロジェクトの発表も無事終えました。大学生活は正式に終わりました。 スマートコントラクトセキュリティに取り組んで7か月。これまでゼロの発見でした。そして人生で初めて、自分の1日を完全に自分のものにできました。 そこで、次の3か月の目標を1つに絞ります：10月1日までに最初の有効な発見を出すこと。 毎日のルーティン： → 毎日Ethernautチャレンジ → @CyfrinUpdraft Advanced Foundryコースの修了 → 実際のバグがどのように発見されるかをSoloditレポートで学ぶ → すべてをGitHubに記録 最初のステップ：First Flights。 正直、実際のコードベースでの脆弱性ハンティングは怖いです。チュートリアルでは準備できた気になりますが、おそらくまだ十分ではないと思います。 でも、このプロセス全体をここに記録します。成功も、却下も、すべてです。 あなたもこの分野でまだ初心者なら、ぜひ一緒に見てください。集中して90日間取り組んだら、一体どうなるのか、見てみましょう。

スマートコントラクトのセキュリティから7か月。まだ発見はなし。だが、AIについてあることに気づき、学び方が変わった。 何日もFoundryのテストが失敗して stuck していた。Claudeに修正してもらうことを繰り返していた。すると修正はされたが、今度は他の部分が壊れる。このループは終わらなかった。 それから、修正を頼むのをやめ、説明を求めるようにした。すると、コードをただパッチで直すのではなく、実際に理解できるようになった。 小さな変化。しかし結果はまったく違う。AIを使って難しい部分をスキップしようとしている若手は、あなたを本当に優秀にする唯一の部分をスキップしているのだ。

多くの人がWeb3に速やかな利益を求めて参入しました。 実際にそれを生み出すための技術的な作業に取り組む意欲を持つ人はごくわずかでした。 誰もがエアドロップを欲しがりましたが、それを配布する契約を理解しようとする人はほとんどいませんでした。 誰もが収益を欲しがりましたが、その収益を生み出しているプロトコルを監査しようとする人はほとんどいませんでした。 機会はホットな話題にあるのではなく、報酬を欲しがる人の多さと、その下で働く意欲を持つ人の少なさの間のギャップに常にありました。 そのギャップは今も広く開いています。

ハッカーたちはすでにAIを活用して脆弱性を発見している。 一方、プロトコルを守る側は、AIを使うのが許されるのかをまだ議論している。 この事実を少し考えてみてほしい。 ホワイトハットがセキュリティにおけるAIの倫理について議論している間に、ブラックハットたちはすでにその問いに答え、次のステップに進んでいる。彼らはコードベースをより速くスキャンし、攻撃の仮説を生成し、長時間の監査セッションの後に人間が見落とすエッジケースを見つけるためにAIを使っている。 攻撃側は常に防衛側よりも速く進んできた。AIはその差をさらに広げた。 これはセキュリティの未来に関する予測ではない。すでに起きている現実だ。昨年、21億ドルが攻撃によって失われたのは、攻撃者がより賢くなったからではない。彼らがよりためらわなくなったからだ。 ターゲットよりも先にAIを武器として活用する方法を発見する監査者や研究者が、3年後のWeb3セキュリティの在り方を定義するだろう。 許可を待っている人々は、すでに遅れている。

4ヶ月目で、一緒に始めた人が私より先に最初の脆弱性を発見したため、スマートコントラクトセキュリティを諦めかけた。 同じ開始日。同じリソース。でも結果は違う。それを自分事のように感じた。 しかし当時は、彼らが1日6時間ハンティングしているのに対し、私はまだチュートリアル段階だったことに気づかなかった。外からは進行状況が同じに見えたが、投入した時間はまったく異なっていた。 この気づきは、他人の行動を眺めるのではなく、まだ見えないところで着実に時間を積み重ねることへ、今も意識的にシフトさせようとしている。 あなたは前にいる人たちに遅れているわけではない。ただ、彼らがそこに到達するために実際に何をしているのかを見ていなかっただけだ。

多くの人は、スマートコントラクトのセキュリティ分野に入るにはコンピュータサイエンスの学位や何年もの経験、あるいは特別な許可が必要だと考えています。 しかし、そうではありません。 実際に必要なのは、意味が分からないコードと向き合う覚悟、公開の場で学んでいる間は馬鹿にされているように感じても構わない心構え、そして翌日もまた立ち上がる勇気です。 障壁は技術的なものではなく、心理的なものです。そして、それは実は良いニュースです。なぜなら、心理的な障壁は、あなたが自ら乗り越えることができるからです。

Web2では、誰かにハッキングされた場合、口座を凍結し、銀行に連絡し、警察を関与させます。 Web3では、トランザクションは確定します。凍結も取り消しも、カスタマーサポート番号も存在しません。 コードが法律であるという考えは強力に聞こえますが、コードにバグがあると、それは誰にも取り消せない高価なミスになります。 これが、Web3におけるセキュリティがオプションではなく、すべての基盤である理由です。