Kebanyakan pendiri berfikir keselamatan hanya bermaksud mengamankan kontrak pintar. Tetapi di sini adalah beberapa mitos biasa vs realiti yang setiap pendiri perlu fahami. > Mitos: Setelah kami lulus audit, kami selamat. Realiti: Menurut saya, ini adalah salah satu kesilapan paling besar dalam Web3. Audit bukanlah sijil keselamatan; ia hanyalah ulasan terhadap kod anda pada satu titik masa tertentu. Pada ketika anda melancarkan ciri baharu, mengintegrasikan protokol lain, mengemas kini oracle, atau mengubah infrastruktur belakang anda, profil risiko anda berubah. Audit membantu mengurangkan risiko, tetapi setiap pengemaskinian selepas itu memerlukan perhatian yang sama tinggi. > Mitos: Perompak hanya mengeksploitasi kontrak pintar. Realiti: Saya tidak lagi percaya itu benar. Apa yang kita lihat dalam beberapa tahun terakhir ialah bahawa beberapa kerugian terbesar bukan datang daripada ralat Solidity—ia datang daripada kunci peribadi yang disusupi, penipuan phishing, kegagalan kawalan akses, infrastruktur belakang, penandatangan oracle, dan kesilapan operasi. Antara muka pengguna, API, saluran pelaksanaan, dompet, dan infrastruktur anda semuanya merupakan sebahagian daripada permukaan serangan anda. Menurut saya, pendiri perlu berfikir melampaui kontrak pintar. Infrastruktur, kunci, dan proses operasi anda sama pentingnya. > Mitos: Kami terlalu kecil untuk menjadi sasaran. Realiti: Penyerang biasanya tidak peduli berapa ramai pengikut projek anda. Mereka hanya peduli tentang satu perkara—adakah mereka boleh mengekstrak nilai. Jika protokol anda menyimpan aset atau mempunyai pengguna, anda sudah menarik perhatian seseorang. Menunggu sehingga anda cukup besar untuk melabur dalam keselamatan seringkali terlambat. > Mitos: Satu penandatangan atau kunci pentadbir yang dipercayai sudah cukup. Realiti: Menurut saya, setiap kunci istimewa harus diperlakukan seperti kas pusat anda. Kunci oracle, kunci pelaksanaan, kunci pengemaskinian, penandatangan multisig, kredensial belakang—setiap satu daripadanya boleh menjadi titik kegagalan tunggal. Satu kredensial yang disusupi boleh membahayakan keseluruhan protokol. > Mitos: Kami akan meningkatkan keselamatan selepas pelancaran. Realiti: Penyerang tidak akan menunggu sehingga titik itu. Pendiri sering berfikir keselamatan boleh ditambah dalam iterasi seterusnya. Sayangnya, eksploitasi tidak mengikut jadual produk. Masa terbaik untuk membina pemantauan, respons insiden, dan keselamatan operasi ialah sebelum pengguna mempercayai aset mereka kepada anda. > Mitos: Ujian dalaman sudah cukup. Realiti: Pasukan anda tahu bagaimana protokol sepatutnya berfungsi. Penyelidik luar berfikir tentang bagaimana ia boleh gagal. Itulah sebabnya audit, ulasan kompetitif, bounty ralat, dan ujian berterusan semuanya memainkan peranan yang berbeza. Keselamatan mendapat manfaat daripada perspektif baharu. > Mitos: Sumber terbuka bermaksud seseorang akan menemui ralat. Realiti: Sumber terbuka meningkatkan transparansi. Ia tidak menjamin seseorang akan mengulas setiap baris kod atau melaporkan setiap kelemahan dengan bertanggungjawab. Menerbitkan kod bukanlah sama dengan mengesahkan ia. > Mitos: Keselamatan adalah tanggungjawab auditor. Realiti: Ini mungkin perubahan minda paling besar yang perlu dilakukan oleh pendiri. Auditor membantu mengurangkan risiko. Tetapi keselamatan dibina oleh semua orang—pendiri membuat keputusan produk, pembangun menulis kod, pasukan DevOps mengurus infrastruktur, dan pasukan operasi melindungi akses. Saya sentiasa percaya bahawa keselamatan bukanlah sesuatu yang anda tamatkan—ia adalah sesuatu yang anda terus tingkatkan. Kesimpulan Akhir: Lanskap keselamatan telah berubah. Dan saya percaya cara kita memikirkan keselamatan perlu berubah bersama dengannya. Ia tidak lagi mencukupi hanya untuk fokus pada kontrak pintar semata-mata. Sebagai pendiri, kita perlu berfikir tentang mengamankan keseluruhan protokol—dari kontrak dan infrastruktur hingga kunci, kawalan akses, dan setiap sistem yang mengekalkan protokol berjalan.