enam perkara tentang mempelajari keselamatan kontrak pintar yang tidak disediakan oleh mana-mana kursus, thread, atau peta jalan: 1. jurang antara "saya boleh menjelaskan kelemahan ini" dan "saya boleh mengesan kelemahan ini dalam kod yang tidak dikenali" adalah kerja sebenar. Semua orang mengajar yang pertama. Hampir tiada siapa yang mengajar yang kedua. 2. Setiap laporan audit yang anda baca sedang mengajar anda sebanyak mana-mana kursus, tetapi tiada siapa yang memberitahu anda untuk membacanya. 3. Primitif DeFi, Aave, Uniswap, pinjaman, AMM, bukanlah pilihan. Anda tidak boleh mengaudit apa yang tidak anda fahami. 4. Kemahiran penulisan laporan adalah separuh daripada bayaran. Menemui kelemahan hanyalah separuh lagi. 5. AI adalah rakan belajar terbaik di dunia jika anda menggunakannya dengan betul. Ia adalah cara paling pantas untuk menipu kemajuan anda sendiri jika anda tidak. Tiada siapa yang menilai kemajuan anda. Kebebasan ini adalah intinya dan bahagian yang paling sukar. Tiada siapa yang menghantar senarai ini kepada anda. Anda menulisnya sendiri semasa berjalan.

kebanyakan orang memilih jalan yang lebih mudah. bukan kerana mereka malas, tetapi kerana ia lebih mudah. lebih pantas menang, maklum balas yang lebih jelas, pekerjaan di akhir yang boleh anda jelaskan kepada ibu bapa anda. saya memilih keselamatan kontrak pintar. jalan naiknya sangat sukar. gelung maklum balasnya berbulan-bulan. ada hari-hari sukar untuk mengetahui sama ada saya benar-benar bergerak maju. tetapi hadnya berbeza, dan keraguan yang saya rasakan kebanyakan malam hanyalah harga untuk mengejarnya. jika anda juga berada di jalan yang sukar, anda tidak perlukan ia menjadi lebih mudah. anda hanya perlu terus muncul.

Baru sahaja mempertahankan projek tahun akhir saya di universiti beberapa minggu yang lalu, sebuah sistem pengundian blok rantai untuk pilihan raya universiti. Pengesahan identiti keccak256. Enam bulan kerja. Kemudian saya membaca penulisan BonkDAO minggu ini. $20 juta dicuri tanpa sebarang baris kod yang rentan. Penyerang hanya membeli cukup token untuk meluluskan cadangan itu. Sistem saya akan runtuh dengan cara yang sama. Kodnya bersih. Penghimpunan identiti berfungsi. Semua checks-effects-interactions di tempatnya. Tetapi saya tidak pernah memodelkan lapisan ekonomi. Saya tidak pernah bertanya apa yang berlaku apabila kos untuk memperoleh kuasa pengundian turun di bawah nilai yang dikawal oleh undian itu. Panel pertahanan saya juga tidak menangkapnya, kerana itulah tempat yang tidak dilihat oleh siapa pun di universiti. Kesenjangan antara kod anda betul dan sistem anda selamat adalah di situlah kerja sebenar berlaku. Itulah bahagian yang saya pilih untuk fokus selama beberapa tahun ke depan.

Baru saja menulis tesis akhir dan mempertahankan projek saya. Universiti secara rasmi telah selesai. 7 bulan dalam bidang keselamatan kontrak pintar. Tiada penemuan apa-apa. Dan untuk pertama kalinya dalam hidup saya, saya memiliki seluruh hari saya sendiri. Jadi, saya memberikan 3 bulan ke depan satu tugas sahaja: penemuan pertama yang sah sebelum 1 Oktober. Rutin harian: → Ethernaut challenge setiap hari → Menyelesaikan Kursus Lanjutan Foundry @CyfrinUpdraft → Membaca laporan Solodit untuk memahami bagaimana ralat sebenar ditemui → Semua didokumentasikan di GitHub Pemberhentian pertama: First Flights. Saya jujur, memburu kelemahan sebenar dalam kod sebenar membuat saya takut. TUTORIAL membuat anda rasa bersedia. Saya tahu mungkin saya belum bersedia. Tetapi saya mendokumentasikan keseluruhan proses ini di sini. Kemenangan, penolakan, semuanya. Jika anda juga baru dalam ruang ini, ikuti perjalanan ini. Mari kita lihat seperti apa 90 hari penuh komitmen sebenar.

7 bulan dalam keselamatan kontrak pintar. Masih tiada penemuan. Tetapi saya memahami sesuatu tentang AI yang mengubah cara saya belajar. Saya terjebak dalam kegagalan ujian Foundry selama berhari-hari. Terus meminta Claude memperbaikinya. Ia memperbaikinya. Kemudian perkara lain menjadi rosak. Lingkaran itu tidak pernah berakhir. Kemudian saya berhenti meminta pembaikan dan mulai meminta penjelasan. Tiba-tiba saya benar-benar memahami kod tersebut, bukan sekadar memperbaikinya. Perubahan kecil. Kesudahan yang sama sekali berbeza. Jika anda seorang junior yang menggunakan AI untuk melalui bahagian sukar, anda sedang melalui bahagian tunggal yang benar-benar menjadikan anda baik.

Kebanyakan orang memasuki web3 mencari wang pantas. Sangat sedikit yang bersedia melakukan kerja teknikal yang sebenarnya menciptanya. Semua orang ingin penghantaran airdrop. Hampir tiada siapa yang ingin memahami kontrak yang mengedarkannya. Semua orang ingin hasil. Hampir tiada siapa yang ingin mengaudit protokol yang menghasilkannya. Peluangnya bukanlah dalam hingar-bingar. Ia selalu berada di jurang antara bilangan orang yang ingin hadiah dan bilangan sedikit yang bersedia melakukan kerja di bawahnya. Jurang itu masih terbuka luas.

Peretas sudah menggunakan AI untuk mencari kelemahan. Orang-orang yang membela protokol masih berdebat apakah boleh menggunakannya. Cuba renungkan sebentar. Semasa para penjaga putih sedang membincangkan etika penggunaan AI dalam keselamatan, para penjaga hitam sudah menjawab soalan itu dan bergerak maju. Mereka menggunakannya untuk memindai pangkalan kod lebih pantas, menghasilkan hipotesis eksploit, dan mencari kes-kes tepi yang tidak dikesan oleh auditor manusia selepas sesi semakan yang panjang. Sisi serangan sentiasa bergerak lebih pantas daripada sisi pertahanan. AI hanya membuat jurang ini menjadi lebih lebar. Ini bukan ramalan tentang masa depan keselamatan. Ini adalah apa yang sudah berlaku. $2.1B yang hilang akibat eksploit tahun lalu bukan berlaku kerana penyerang lebih bijak. Ia berlaku kerana mereka kurang ragu-ragu. Para auditor dan penyelidik yang mampu menggunakan AI sebagai senjata sebelum sasaran mereka melakukannya adalah orang-orang yang akan mentakrifkan bagaimana keselamatan web3 akan kelihatan dalam 3 tahun mendatang. Orang-orang yang menunggu kebenaran sudah tertinggal jauh di belakang.

Saya hampir berhenti dari keselamatan kontrak pintar pada bulan keempat kerana seseorang yang bermula bersama saya mendapat penemuan pertama mereka sebelum saya. Tarikh mula yang sama. Sumber yang sama. Keputusan yang berbeza. Dan saya mengambilnya secara peribadi. Apa yang tidak saya sedari ialah mereka sedang mencari selama 6 jam sehari, sementara saya masih dalam mod tutorial. Garis masa kelihatan sama dari luar. Inputnya sama sekali berbeza. Pemahaman ini adalah sesuatu yang masih aktif saya usahakan untuk berpindah dari memantau apa yang orang lain lakukan kepada hanya memasukkan jam kerja yang belum kelihatan. Anda tidak ketinggalan daripada orang-orang yang lebih depan. Anda hanya tidak melihat apa yang sebenarnya mereka lakukan untuk berada di sana.

kebanyakan orang berfikir bahawa memasuki bidang keselamatan kontrak pintar memerlukan ijazah sains komputer, bertahun-tahun pengalaman, atau kebenaran khas tertentu. ia tidak demikian. apa yang sebenarnya diperlukan ialah kesediaan untuk duduk bersama kod yang tidak masuk akal, kelihatan bodoh semasa belajar di depan umum, dan muncul semula pada esok hari juga. halangan bukanlah teknikal. ia adalah psikologi. dan ini sebenarnya berita baik, kerana halangan psikologi adalah yang boleh anda pilih untuk lalui.

Dalam web2, jika seseorang membajak anda, anda membekukan akaun, hubungi bank, dan melibatkan penguasa undang-undang. Dalam web3, transaksi adalah final. Tiada pembekuan, tiada pembalikan, tiada nombor sokongan pelanggan. Kod adalah undang-undang, yang kedengaran kuat sehingga kod itu mempunyai ralat. Kemudian, kod hanyalah kesilapan mahal yang tiada siapa boleh batalkan. Inilah sebabnya keselamatan dalam web3 bukan pilihan. Ia adalah asas seluruhnya.