A equipe da QuillAudits chegou a Mumbai para o @EFDevcon. Nossos auditores, pesquisadores, desenvolvedores, equipe de marketing e liderança estão na cidade organizando, palestrando e se conectando com a comunidade Web3. Da tokenização à segurança da blockchain, estamos empolgados em fazer parte das conversas que moldam o futuro da Web3. Se você quer nos encontrar no Devcon, Acompanhe para onde nossa equipe está indo, veja quem está participando de quais eventos e se cadastre no UsePulse para nos encontrar durante todo o Devcon! 👇 Confira nossa agenda de eventos: https://t.co/15F1ESWie1

Ngl, o título me assustou por um segundo. Estamos vendendo auditorias há mais de 8 anos 😅 Depois li o texto completo, e o ponto real me atingiu ainda mais. Os clientes não odeiam auditorias, eles odeiam pagar por uma lista de problemas antes de saber quanto custará corrigi-los. E, honestamente, a segurança web3 tem exatamente o mesmo problema. Fundadores adiam auditorias para a última semana antes do mainnet porque, para eles, é só um PDF e uma conta. Depois, o relatório chega, os desenvolvedores corrigem as falhas encontradas, e a equipe aprende quase nada. Vimos isso em primeira mão com o QuillShield. Ele descobriu independentemente um caminho de ataque diferente para uma falha que uma auditoria de 12 agentes havia marcado como refutada após um mecanismo de proteção bloquear o caminho testado. O QuillShield escreveu um teste de exploração que passou, e um auditor humano verificou no fork do mainnet. Quatro revisores concordaram que a falha era real. O que realmente funciona, em agências de IA e em segurança: Ensine a equipe enquanto você analisa seu trabalho. As melhores descobertas vêm de pessoas que mostram seus fluxos de trabalho reais. Deixe-os melhores do que os encontrou, não apenas com um relatório. “A auditoria ainda acontece. Só não precisa ser a coisa que você pede para eles pagarem antecipadamente.” Está construindo algo e vai ao Devcon? Vamos conversar sobre como sua equipe permanece segura muito depois da auditoria. Meus DMs estão abertos 🤝 Boa leitura @lukepierceops 👇

Honestamente, isso parece mais uma estratégia de marketing para convencer as pessoas a venderem seu bitcoin do que uma análise objetiva sobre para onde o mercado está se dirigindo. Estamos nos movendo em direção a um mundo digital em primeiro lugar, veja @PhonePe e outros aplicativos de pagamento digital. As pessoas estão se tornando sem dinheiro em espécie porque a tecnologia torna as transações mais rápidas, fáceis e convenientes. A mesma mudança está acontecendo com o bitcoin e os ativos digitais: transações globais mais rápidas, pagamentos sem fronteiras, acessibilidade financeira e a capacidade de transferir valor sem depender inteiramente de intermediários tradicionais. Toda tecnologia tem limitações e riscos, mas isso não significa que devemos descartar seu potencial. A tecnologia evolui para resolver problemas. A verdadeira pergunta não é se o bitcoin tem falhas, mas se sua utilidade e adoção de longo prazo podem continuar a crescer. Julgar uma tecnologia emergente apenas pelo seu desempenho atual no mercado pode significar perder a visão geral. Agentes de IA precisarão de uma maneira de pagar por serviços, acessar dados e executar tarefas de forma autônoma. Protocolos como @base x402 permitem pagamentos nativos da internet entre agentes de IA e serviços. À medida que os agentes de IA se tornam mais capazes e avançam em direção à superinteligência, a necessidade de pagamentos programáveis, transações máquina-a-máquina e infraestrutura financeira sem permissão pode crescer significativamente. Não acho que o bitcoin, a blockchain ou o cripto simplesmente desaparecerão porque a IA está se tornando mais valiosa. Se algo, o surgimento dos agentes de IA pode criar novos casos de uso para blockchain e ativos digitais. A verdadeira pergunta não é se a IA ou o cripto vencerão. É como os dois evoluirão juntos para construir a próxima geração da internet.

Orgulhoso da equipe por ter lançado. Por que os desenvolvedores devem usá-lo: 1. Taxa de detecção – 84% no EVM-bench. 2. Explorações de PoC verificadas – Cada achado em uma auditoria completa inclui uma exploração de prova-de-conceito funcional, permitindo que você veja a falha antes de corrigi-la. 3. Cobertura CI/CD – Após a auditoria inicial, cada PR, merge request e commit são automaticamente escaneados por meio do App do GitHub, Actions ou um webhook do GitLab, mantendo a cobertura contínua entre as auditorias. 4. Memória do projeto – A ferramenta mantém uma memória por projeto (documentação, contexto, achados anteriores), permitindo que cada varredura entenda melhor seu código-base do que a anterior. 5. Nativo para ferramentas de desenvolvimento – Disponível por meio de uma API REST, CLI qs, MCP para Cursor e Claude, e projetos Foundry. Importe a partir do GitHub, GitLab, arquivos zip ou arquivos .sol.

Todo mundo sabe o que aconteceu com a Ledger recentemente. Mas qual é a verdadeira lição? Um revendedor tinha dispositivos fisicamente implantados. O implante observava a tela durante a configuração, roubava a seed de 24 palavras e a enviava por LTE. O Secure Element nunca foi tocado. O Check de autenticidade ainda passou. Isso não é apenas um problema da Ledger. Aplica-se a qualquer produto físico que você compre: outro hardware wallet, um telefone usado, um dispositivo “novo” de um revendedor, qualquer coisa que fique entre a fábrica e suas mãos. Sua segurança é tão forte quanto o caminho que o produto percorreu até chegar a você. OPSEC básica que realmente importa: Compre diretamente no site do fabricante sempre que possível. Elimina a maioria dos riscos da cadeia de suprimentos de hardware. • Para fundos maiores → apenas multisig. Um dispositivo comprometido não consegue mover nada sozinho. • Contra explorações de software: redefina/reinstale a máquina (ou o ambiente de chave) duas ou três vezes antes de considerá-la limpa. • Nunca confie em uma seed (ou dados privados) de um dispositivo com qualquer dúvida sobre sua origem. • Teste com quantias pequenas primeiro. Suponha o pior na primeira configuração. Hardware ainda funciona. Sempre seja paranoico com segurança.

Se a aquisição relatada da @OpenAI e da @trailofbits ocorrer, acho que poderia ser um sinal importante para o futuro da cibersegurança. A Trail of Bits construiu sua reputação por meio de pesquisas sérias em segurança, ferramentas de código aberto e expertise técnica profunda. Sua colaboração com a OpenAI no projeto “Patch the Planet” também demonstra como a inteligência artificial e a expertise em segurança podem se unir para encontrar e corrigir vulnerabilidades em escala. Mas por que adquirir uma empresa de segurança? Laboratórios de IA de ponta precisam de mais do que modelos melhores. Eles precisam de expertise em segurança do mundo real, conjuntos de dados de vulnerabilidades e pessoas que entendam como o software falha. Uma equipe como a Trail of Bits poderia ajudar a melhorar como os modelos descobrem, raciocinam sobre e corrigem vulnerabilidades. Para a Trail of Bits, as vantagens são igualmente interessantes: mais capital, recursos maiores e potencialmente acesso mais profundo aos modelos de ponta. Imagine combinar sua expertise em segurança com sistemas de IA cada vez mais capazes. A grande pergunta é se isso se tornará uma tendência. Não me surpreenderia se outros laboratórios de IA, incluindo empresas chinesas de IA de ponta, buscassem parcerias ou aquisições semelhantes. Empresas de segurança Web3 também poderiam fazer parte dessa mudança. Imagine um laboratório de IA de ponta adquirindo uma empresa como a @CertiK ou estabelecendo uma parceria estratégica profunda com uma delas. Já vimos consolidação na segurança Web3, como a aquisição da @code4rena pela @zellic_io. A IA pode acelerar ainda mais esse processo. Mas há uma armadilha. À medida que a IA torna a descoberta de vulnerabilidades mais barata e escalável, o valor do trabalho de segurança pode mudar. Auditorias puramente manuais podem enfrentar pressão crescente, enquanto pesquisadores que conseguem usar IA para descobrir bugs mais profundos e complexos podem se tornar ainda mais valiosos. Minha conclusão? Aprenda a trabalhar com LLMs. Construa ferramentas. Encontre vulnerabilidades. Publique pesquisas. Construa uma reputação. O futuro pode não pertencer aos auditores que competem contra a IA, mas àqueles que sabem usá-la melhor do que todos os outros. A cibersegurança está entrando em uma nova fase, e a segurança Web3 não será imune.

Infelizmente saber isso. Uma lição importante aqui é que manter uma grande quantia de fundos em uma única carteira cria um ponto único de falha crítico. Algumas práticas básicas que podem reduzir significativamente o risco: → Divida grandes quantias entre várias carteiras, em vez de manter tudo em um único local. → Use carteiras de hardware/frias para holdings significativos. Manter as chaves isoladas de sistemas online torna muito mais difícil sua comprometimento remotamente. → Use multisigs para quantias maiores. Exigir múltiplas assinaturas independentes significa que comprometer uma única assinatura/chave não é suficiente para mover os fundos. → Senhas fortes @opsek_io são essenciais. Entenda o que você está assinando, onde suas chaves estão armazenadas, quem tem acesso a elas e quais informações você compartilha publicamente. Nenhuma dessas medidas é uma bala de prata, mas juntas podem reduzir drasticamente o alcance de um comprometimento. Fique à vontade para me enviar uma DM para quaisquer dúvidas ou ajuda. Fico feliz em ajudar onde puder.

Parabéns a todas as equipes selecionadas para as Base Batches 004 👏 Como uma empresa de segurança, acreditamos que a segurança deve ser construída desde o primeiro dia, não adicionada após o primeiro incidente. Alguns pontos que cada equipe deve considerar ao desenvolver: 1. OpSec + segurança da infraestrutura A segurança começa com a sua equipe. Treine seus funcionários e a equipe principal nas melhores práticas de segurança, especialmente dicas de @opsek_io, conscientização sobre phishing, segurança de conta, gerenciamento de chaves e engenharia social. Sempre participe de reuniões importantes e acesse sistemas críticos por meio de laptops/dispositivos de trabalho dedicados, e não por dispositivos pessoais. Sua equipe é frequentemente a primeira linha de defesa. Um único dispositivo, conta ou funcionário comprometido pode se tornar o ponto de entrada para um ataque muito maior. 2. Multisig + dispositivos seguros Você está recebendo $100K em financiamento — use uma parte disso para investir em segurança. Adquira carteiras de hardware como @Ledger, use multisigs para fundos críticos e mantenha dispositivos separados dedicados às operações de trabalho/crypto. Não use o mesmo dispositivo para tudo. Separar atividades de trabalho, pessoais e operações críticas de assinatura reduz as chances de malware ou um dispositivo comprometido alcançar seus sistemas mais sensíveis. Uma única chave comprometida nunca deve ser suficiente para causar danos graves. Para varredura multisig segura, você pode integrar ao nosso produto: https://t.co/85ArM12r7p 3. Segurança da interface (frontend) Seus contratos podem ser perfeitamente seguros, mas os usuários ainda podem ser esvaziados por meio de uma interface comprometida. Phishing, comprometimento de DNS/dominio e alterações maliciosas na interface são caminhos de ataque comuns. Proteja a interface com a qual seus usuários realmente interagem. 4. Monitoramento on-chain + resposta a incidentes A segurança não termina após o deploy. Monitoramento 24/7 pode ajudar a detectar transações incomuns, alterações de administrador, movimentações suspeitas de fundos e outras anomalias precocemente. E quando algo acontecer, a velocidade importa. Tenha um plano claro de resposta a incidentes, papéis definidos e a capacidade de conter rapidamente um ataque. Segurança tem um custo. Mas o custo de não proteger o que você está construindo pode ser muito maior. Parabéns novamente a todas as equipes: construam rápido, mas construam com segurança. 🔐 Se quiser discutir qualquer coisa sobre segurança, fique à vontade para me enviar uma DM! CC: @SaturdayBank @mercatus_ai @contavcbr @Tribeca_xyz @Flovia402 @bitrepo_xyz @get_grow_app @GreekDotFi @LEDiG_Tech @RennFinance

Leia “CyberChainBench: Can AI Agents Secure Smart Contracts Against Real World On-Chain Vulnerabilities?” Pesquisa muito interessante sobre o estado atual dos agentes de IA em termos de segurança de contratos inteligentes. O artigo avalia agentes de IA contra 541 explorações do mundo real em 9 cadeias EVM —> não vulnerabilidades sintéticas ou trechos de código estáticos. Os agentes tinham que fazer três coisas: • Detectar a vulnerabilidade • Reproduzir a exploração • Corrigir a vulnerabilidade Alguns dos meus pontos principais 👇

Encerramos o painel de hoje no @CoinFerenceX Sobre a Segurança do Capital Institucional: Custódia, Explorações e o Novo Landscape de Ameaças Com: Jason Jiang (CBO, @CertiK) Alex Horlan (CTO, @d0rsky @HackenProof) Jock Haslam (@jockhaslam @Hashlock_) Moderado por Adam Wasserman Aprofundamos os riscos de custódia, explorações reais, vulnerabilidades na cadeia de fornecedores e o papel em evolução da IA na segurança do capital institucional. Orgulhosos de representar o @QuillAudits_AI como uma fronteira na segurança de RWA e tokenização, enquanto continuamos construindo segurança full-stack para o mundo on-chain.