Pasukan QuillAudits telah tiba di Mumbai untuk @EFDevcon Pengauditor, penyelidik, pembangun, pasukan pemasaran, dan kepimpinan kami berada di bandar ini untuk menghos, berucap, dan berhubung dengan komuniti Web3. Dari tokenisasi hingga keselamatan blok rantai, kami gembira menjadi sebahagian daripada perbincangan yang membentuk masa depan Web3. Jika anda ingin bertemu dengan kami di Devcon, Pantau perjalanan pasukan kami, lihat siapa yang menghadiri acara apa, dan daftar di UsePulse untuk mencari kami sepanjang Devcon! 👇 Lihat jadual acara kami: https://t.co/15F1ESWie1

Tajuk itu membuat saya takut sebentar. Kami telah menjual audit selama 8+ tahun 😅 Kemudian saya membaca keseluruhan perkara itu, dan inti sebenarnya menjadi lebih jelas. Klien tidak membenci audit, mereka membenci membayar untuk senarai masalah sebelum mereka tahu berapa kos untuk memperbaikinya. Dan jujur saja, keselamatan web3 menghadapi masalah yang sama. Pengasas menunda audit hingga minggu terakhir sebelum rangkaian utama kerana bagi mereka, ia hanyalah PDF dan bil. Kemudian laporan itu tiba, pembangun memperbaiki temuan, dan pasukan hampir tidak belajar apa-apa. Kami melihat ini secara langsung dengan QuillShield. Ia secara berasingan menemui laluan serangan yang berbeza terhadap satu kelemahan yang telah ditandakan sebagai “ditolak” oleh audit 12 agen selepas langkah pengawal menghalang laluan yang diuji. QuillShield menulis ujian eksploitasi yang berjaya, dan seorang auditor manusia mengesahkan ia pada cabang rangkaian utama. Empat pemeriksa bersetuju bahawa kelemahan itu adalah nyata. Apa yang benar-benar berkesan, dalam agensi AI dan keselamatan: Ajarkan pasukan sambil anda menyelidiki kerja mereka. Temuan terbaik datang daripada orang yang menunjukkan alur kerja sebenar mereka. Tinggalkan mereka dalam keadaan lebih baik daripada ketika anda jumpa, bukan hanya dengan satu laporan. “Audit masih berlaku. Ia hanya tidak perlu menjadi perkara yang anda minta mereka bayar terlebih dahulu.” Membina sesuatu dan akan datang ke Devcon? Mari bincang bagaimana pasukan anda kekal selamat selepas audit. DM saya terbuka 🤝 Bacaan yang bagus @lukepierceops 👇

Jujur, ini terasa lebih seperti strategi pemasaran untuk meyakinkan orang menjual bitcoin mereka daripada pandangan objektif tentang arah pasaran. Kita sedang bergerak menuju dunia digital terlebih dahulu, lihatlah @PhonePe dan aplikasi pembayaran digital lainnya. Orang-orang beralih ke tanpa tunai kerana teknologi membuat transaksi lebih pantas, lebih mudah, dan lebih selesa. Perubahan yang sama sedang berlaku dengan bitcoin dan aset digital: transaksi global yang lebih pantas, pembayaran tanpa sempadan, aksesibiliti kewangan, dan keupayaan untuk memindahkan nilai tanpa bergantung sepenuhnya pada perantara tradisional. Setiap teknologi mempunyai batasan dan risiko, tetapi itu tidak bermakna kita harus menolak potensinya. Teknologi berkembang untuk menyelesaikan masalah. Soalan sebenar bukan sama ada bitcoin mempunyai kelemahan, tetapi sama ada utiliti dan pengambilannya dalam jangka panjang boleh terus berkembang. Menilai teknologi yang muncul semata-mata berdasarkan prestasi pasaran semasa mungkin membuat kita melepas gambaran yang lebih besar. Agen AI akan memerlukan cara untuk membayar perkhidmatan, mengakses data, dan melaksanakan tugas secara autonomi. Protokol seperti @base x402 membolehkan pembayaran asli internet antara agen AI dan perkhidmatan. Semasa agen AI menjadi lebih cekap dan bergerak menuju kecerdasan super, keperluan untuk pembayaran yang boleh diprogramkan, transaksi mesin-ke-mesin, dan infrastruktur kewangan tanpa kebenaran mungkin meningkat secara signifikan. Saya tidak fikir bitcoin, blok rantai, atau kripto akan hilang begitu sahaja kerana AI menjadi lebih berharga. Jika apa-apa, kenaikan agen AI mungkin mencipta kesgunaan baharu untuk blok rantai dan aset digital. Soalan sebenar bukan sama ada AI atau kripto akan menang. Ia ialah bagaimana keduanya akan berkembang bersama untuk membina generasi seterusnya internet.

Bangga dengan pasukan kerana menyiapkannya. Mengapa pembangun harus menggunakannya: 1. Kadar pengesanan – 84% pada EVM-bench. 2. Eksploit PoC yang disahkan – Setiap penemuan dalam audit penuh termasuk eksploit bukti-ke-concept yang berfungsi, jadi anda melihat kegagalan sebelum memperbaikinya. 3. Cakupan CI/CD – Selepas audit awal, setiap PR, permintaan penggabungan, dan commit dipindai secara automatik melalui Aplikasi GitHub, Tindakan, atau webhook GitLab, menjaga cakupan berterusan antara audit. 4. Memori projek – Alat ini menyimpan memori setiap projek (dokumen, konteks, penemuan sebelumnya), membolehkan setiap pindaan memahami pangkalan kod anda dengan lebih baik daripada sebelumnya. 5. Asli untuk alat pembangun – Tersedia melalui API REST, CLI qs, MCP untuk Cursor dan Claude, serta projek Foundry. Import dari GitHub, GitLab, fail zip, atau fail .sol.

Semua orang tahu apa yang berlaku dengan Ledger baru-baru ini. Tetapi, apakah pelajaran sebenarnya? Seorang penjual runcit memiliki peranti yang dipasang secara fizikal. Pemasangan itu memantau skrin semasa penyetelan, mencuri benih 24 perkataan, dan menghantarnya melalui LTE. Secure Element tidak pernah disentuh. Pemeriksaan Asli masih lulus. Ini bukan hanya masalah Ledger. Ia berlaku pada mana-mana produk fizikal yang anda beli—dompet peranti keras lain, telefon second-hand, peranti “baharu” dari penjual runcit, apa sahaja yang berada di antara pabrik dan tangan anda. Keselamatan anda hanya sekuat jalan yang diambil produk itu untuk sampai kepada anda. OPSEC asas yang benar-benar penting: Beli terus dari laman web pengilang semampu mungkin. Menghilangkan sebahagian besar risiko rantaian bekalan peranti keras. • Untuk dana yang lebih tinggi → hanya gunakan multisig. Satu peranti yang disusupi tidak boleh bergerak apa-apa secara berasingan. • Terhadap eksploit perisian: set semula / pasang semula mesin (atau persekitaran kunci) dua atau tiga kali sebelum menganggapnya bersih. • Jangan percaya benih (atau data peribadi) dari peranti yang anda ragui asal-usulnya. • Uji dengan jumlah kecil terlebih dahulu. Anggap yang terburuk semasa penyetelan pertama. Peranti keras masih berfungsi. Sentiasa waspada terhadap keselamatan.

Jika pengambilalihan @OpenAI dan @trailofbits yang dilaporkan berlaku, saya rasa ia boleh menjadi isyarat besar bagi masa depan keselamatan siber. Trail of Bits telah membina reputasinya melalui penyelidikan keselamatan serius, peralatan sumber terbuka, dan keahlian teknikal mendalam. Kolaborasinya dengan OpenAI dalam inisiatif “Patch the Planet” juga menunjukkan bagaimana AI dan keahlian keselamatan boleh bergabung untuk mengesan dan membaiki kerentanan pada skala besar. Tetapi mengapa mengambil alih syarikat keselamatan? Lab AI Frontier memerlukan lebih daripada model yang lebih baik. Mereka memerlukan keahlian keselamatan dunia nyata, set data kerentanan, dan orang-orang yang memahami bagaimana perisian gagal. Pasukan seperti Trail of Bits boleh membantu meningkatkan cara model mengesan, mempertimbangkan, dan membaiki kerentanan. Untuk Trail of Bits, peluangnya sama menariknya: lebih banyak modal, sumber yang lebih besar, dan mungkin akses yang lebih mendalam kepada model frontier. Bayangkan menggabungkan keahlian keselamatan mereka dengan sistem AI yang semakin canggih. Soalan yang lebih besar ialah sama ada ini akan menjadi satu tren. Saya tidak akan terkejut jika lab AI lain, termasuk syarikat AI frontier Cina, mengejar perkongsian atau pengambilalihan serupa. Syarikat keselamatan Web3 juga boleh menjadi sebahagian daripada perubahan ini. Bayangkan sebuah lab AI frontier mengambil alih syarikat seperti @CertiK atau membina perkongsian strategik mendalam dengannya. Kita sudah melihat penggabungan dalam keselamatan Web3, seperti pengambilalihan @code4rena oleh @zellic_io. AI boleh mempercepatkan lagi perubahan ini. Tetapi ada satu kelemahan. Semasa AI menjadikan pengesanan kerentanan lebih murah dan lebih boleh dikembangkan, nilai kerja keselamatan mungkin berubah. Pemeriksaan manual semata-mata mungkin menghadapi tekanan yang semakin meningkat, manakala penyelidik yang mampu menggunakan AI untuk mengesan bug yang lebih mendalam dan kompleks mungkin menjadi semakin berharga. Kesimpulan saya? Belajar bekerja dengan LLM. Bina alat. Cari bug. Terbitkan penyelidikan. Bina reputasi. Masa depan mungkin bukan milik pemeriksa yang bersaing dengan AI, tetapi kepada mereka yang tahu cara menggunakannya lebih baik daripada semua orang lain. Keselamatan siber memasuki fasa baharu, dan keselamatan Web3 tidak akan kebal daripadanya.

Sedih mendengar ini. Satu pelajaran penting di sini ialah menyimpan jumlah dana yang besar dalam satu dompet sahaja mencipta titik kegagalan tunggal yang serius. Beberapa amalan asas yang boleh mengurangkan risiko secara ketara: → Bahagikan jumlah besar ke dalam beberapa dompet, bukan menyimpan semuanya di satu tempat. → Gunakan dompet keras/dingin untuk simpanan yang signifikan. Menyimpan kunci secara terpisah daripada sistem dalam talian menjadikannya jauh lebih sukar untuk dikompromikan dari jauh. → Gunakan multisig untuk jumlah yang lebih besar. Memerlukan beberapa tanda tangan bebas bermakna kompromi terhadap satu penandatangan/kunci sahaja tidak cukup untuk memindahkan dana. → Kesan @opsek_io yang kuat penting. Fahami apa yang anda tandatangani, di mana kunci anda disimpan, siapa yang mempunyai akses kepada mereka, dan maklumat apa yang anda kongsikan secara awam. Tiada satu pun daripada ini adalah peluru perak, tetapi bersama-sama ia boleh mengurangkan kesan serangan secara ketara. Jangan ragu-ragu untuk hantar pesanan peribadi kepada saya jika ada sebarang soalan atau bantuan. Saya bersedia membantu sejauh yang saya mampu.

Tahniah kepada semua pasukan yang dipilih untuk Base Batches 004 👏 Sebagai syarikat keselamatan, kami percaya keselamatan harus dibina sejak hari pertama, bukan ditambah selepas kejadian pertama. Beberapa perkara yang setiap pasukan perlu pertimbangkan semasa membina: 1. OpSec + keselamatan infrastruktur Keselamatan bermula daripada pasukan anda. Latih pekerja dan pasukan utama anda mengenai amalan terbaik keselamatan, terutamanya tips daripada @opsek_io, kesedaran terhadap phishing, keselamatan akaun, pengurusan kunci, dan rekabentuk sosial. Sentiasa hadir ke mesyuarat penting dan akses sistem penting daripada laptop/peranti kerja khas, bukan peranti peribadi. Pasukan anda sering menjadi garis pertahanan pertama. Satu peranti, akaun, atau pekerja yang disusupi boleh menjadi titik masuk untuk serangan yang jauh lebih besar. 2. Multisig + peranti selamat Anda menerima pendanaan sebanyak $100K, gunakan sebahagian daripadanya untuk melabur dalam keselamatan. Dapatkan dompet keras seperti @Ledger, gunakan multisig untuk dana penting, dan simpan peranti berasingan yang khusus digunakan untuk operasi kerja/kripto. Jangan gunakan peranti yang sama untuk semua perkara. Memisahkan aktiviti kerja, peribadi, dan operasi penandatanganan penting mengurangkan kemungkinan malware atau peranti yang disusupi mencapai sistem paling sensitif anda. Satu kunci yang disusupi seharusnya tidak cukup untuk menyebabkan kerosakan serius. Untuk pemindaian multisig yang selamat, anda boleh mengintegrasikan ke dalam produk kami: https://t.co/85ArM12r7p 3. Keselamatan antaramuka depan Kontrak anda mungkin selamat sepenuhnya, tetapi pengguna masih boleh ditipu melalui antaramuka depan yang disusupi. Phishing, kompromi DNS/domain, dan perubahan UI jahat adalah laluan serangan biasa. Lindungi antaramuka yang sebenarnya diinteraksi oleh pengguna anda. 4. Pemantauan di rantai + tindakan respons insiden Keselamatan tidak berhenti selepas pelancaran. Pemantauan 24/7 boleh membantu mengesan transaksi tidak biasa, perubahan pentadbir, pergerakan dana mencurigakan, dan anomali lain pada awalnya. Dan apabila sesuatu berlaku, kelajuan adalah penting. Miliki rancangan respons insiden yang jelas, peranan yang ditentukan, dan keupayaan untuk mengawal serangan dengan cepat. Keselamatan datang dengan kos. Tetapi kos tidak mengamankan apa yang anda bina boleh jauh lebih tinggi. Tahniah sekali lagi kepada semua pasukan — bina dengan pantas, tetapi bina dengan selamat. 🔐 Jika anda ingin membincangkan apa-apa mengenai keselamatan, sila hantar pesanan peribadi kepada saya! CC: @SaturdayBank @mercatus_ai @contavcbr @Tribeca_xyz @Flovia402 @bitrepo_xyz @get_grow_app @GreekDotFi @LEDiG_Tech @RennFinance

Baca “CyberChainBench: Bolehkah Agen AI Melindungi Kontrak Pintar Daripada Kerentanan Dunia Nyata di Atas Rantaian?” Penyelidikan yang sangat menarik mengenai kedudukan semasa agen AI dalam keselamatan kontrak pintar. Kertas ini menilai agen AI terhadap 541 serangan dunia nyata di 9 rantai EVM —> bukan kerentanan sintetik atau petikan kod statik. Agen-agennya perlu melakukan tiga perkara: • Mengesan kerentanan • Mengulangi serangan • Membaiki kerentanan Beberapa kesimpulan saya 👇

Menyelesaikan panel hari ini di @CoinFerenceX Tentang Membendung Modal Institusi: Penyimpanan, Eksploitasi, dan Landskap Ancaman Baru Bersama: Jason Jiang (CBO, @CertiK) Alex Horlan (CTO, @d0rsky @HackenProof) Jock Haslam (@jockhaslam @Hashlock_) Dimoderatori oleh Adam Wasserman Kami membincangkan secara mendalam mengenai risiko penyimpanan, eksploitasi dunia nyata, kerentanan rantai vendor, dan peranan berkembang AI dalam membendung modal institusi. Bangga mewakili @QuillAudits_AI sebagai pelopor dalam keselamatan RWA dan tokenisasi, sambil terus membangun keselamatan penuh untuk dunia on-chain.