seis coisas sobre aprender segurança de contratos inteligentes que nenhum curso, thread ou roteiro lhe prepara: 1. a lacuna entre “eu consigo explicar esse bug” e “eu consigo identificar esse bug em código desconhecido” é o trabalho real. Todos ensinam a primeira. Quase ninguém ensina a segunda. 2. cada relatório de auditoria que você lê está lhe ensinando tanto quanto qualquer curso, mas ninguém lhe diz para lê-los. 3. primitivos DeFi, Aave, Uniswap, empréstimos, AMMs não são opcionais. Você não pode auditar o que não entende. 4. a habilidade de escrever relatórios é metade do pagamento. Encontrar o bug é a outra metade. 5. IA é o melhor parceiro de estudo do mundo se você a usar corretamente. É a maneira mais rápida de fingir que está progredindo se você não usar. Ninguém está avaliando seu progresso. Essa liberdade é tanto o ponto quanto a parte mais difícil. Ninguém te envia essa lista. Você a escreve sozinho à medida que avança.

A maioria das pessoas escolhe o caminho mais fácil. Não porque são preguiçosas, mas porque é mais fácil. Vence quem é mais rápido, quem recebe feedback mais claro, quem tem um emprego no final que consegue explicar aos pais. Eu escolhi segurança de contratos inteligentes. A subida é brutal. O ciclo de feedback leva meses. Em alguns dias, é difícil dizer se avancei em algo. Mas o teto é diferente, e a dúvida que sinto na maioria das noites é apenas o preço de buscar por isso. Se você também está em um caminho difícil, não precisa que ele fique mais fácil. Você só precisa continuar comparecendo.

Defendi meu projeto de conclusão de curso na universidade há algumas semanas — um sistema de votação baseado em blockchain para eleições universitárias, com verificação de identidade via Keccak256. Seis meses de trabalho. Depois, li o write-up do BonkDAO esta semana: US$20 milhões roubados sem uma única linha de código vulnerável. O atacante simplesmente comprou tokens suficientes para aprovar a proposta. Meu sistema teria caído da mesma forma. O código estava limpo. O hash da identidade funcionava. Checks-effects-interactions em todos os lugares. Mas eu nunca modeleii a camada econômica. Nunca me perguntei o que aconteceria quando o custo de adquirir poder de voto caísse abaixo do valor do que o voto controla. Meu banca de defesa também não percebeu, porque é nisso que ninguém olha na universidade. A lacuna entre seu código estar correto e seu sistema estar seguro é onde reside o verdadeiro trabalho. É nisso que escolhi me concentrar nos próximos anos.

Acabei de escrever meus trabalhos finais e defender meu projeto. A universidade está oficialmente concluída. 7 meses na segurança de contratos inteligentes. Zero descobertas. E, pela primeira vez na minha vida, possuo todo o meu dia. Então, vou dar aos próximos 3 meses um único objetivo: meu primeiro achado válido até 1º de outubro. A rotina diária: → Desafio Ethernaut todos os dias → Concluir o Curso Avançado de Foundry da @CyfrinUpdraft → Ler relatórios do Solodit para aprender como verdadeiras falhas são encontradas → Tudo documentado no GitHub Primeira parada: First Flights. Vou ser honesto: caçar vulnerabilidades reais em bases de código reais me assusta. Tutoriais fazem você se sentir preparado. Sei que provavelmente não estou. Mas estou documentando tudo aqui. As vitórias, as rejeições, tudo. Se você também está no início neste espaço, acompanhe. Vamos ver como fica 90 dias totalmente focados.

7 meses após o início da segurança de contratos inteligentes. Ainda sem descobertas. Mas eu entendi algo sobre IA que mudou a forma como aprendo. Fiquei preso falhando nos testes do Foundry por dias. Continuava pedindo ao Claude para corrigi-los. Ele corrigia. Depois, algo mais quebrava. O ciclo nunca terminava. Então parei de pedir correções e comecei a pedir explicações. De repente, eu realmente estava entendendo o código, em vez de apenas consertá-lo. Pequena mudança. Resultado completamente diferente. Se você é um iniciante usando IA para pular as partes difíceis, está pulando a única parte que realmente te torna bom.

A maioria das pessoas entrou no web3 procurando dinheiro rápido. Muito poucas estavam dispostas a fazer o trabalho técnico que realmente o cria. Todo mundo queria o airdrop. Quase ninguém queria entender o contrato que o distribui. Todo mundo queria o yield. Quase ninguém queria auditar o protocolo que o gera. A oportunidade nunca esteve na hype. Sempre esteve na lacuna entre o número de pessoas que queriam a recompensa e o número reduzido dispostas a fazer o trabalho por trás dela. Essa lacuna ainda está totalmente aberta.

Hackers já estão usando IA para encontrar vulnerabilidades. As pessoas que defendem protocolos ainda debatem se é aceitável usá-la. Deixe isso afundar por um segundo. Enquanto os white hats têm discussões éticas sobre IA em segurança, os black hats já responderam essa pergunta e seguiram em frente. Eles estão a usando para escanear bases de código mais rápido, gerar hipóteses de exploração e encontrar casos limite que auditores humanos perdem após longas sessões de revisão. O lado do ataque sempre avançou mais rápido que o lado da defesa. A IA apenas ampliou essa lacuna. Isso não é uma previsão sobre o futuro da segurança. É o que já está acontecendo. Os US$ 2,1 bilhões perdidos em explorações no ano passado não ocorreram porque os atacantes eram mais inteligentes. Ocorreu porque eles eram menos hesitantes. Os auditores e pesquisadores que descobrirem como usar a IA como arma antes de seus alvos serão os que definirão como será a segurança web3 em três anos. Os que esperam permissão já estão atrasados.

Quase desisti da segurança de contratos inteligentes no quarto mês porque alguém com quem comecei conseguiu sua primeira descoberta antes de mim. Mesma data de início. Mesmos recursos. Resultado diferente. E eu levei para o lado pessoal. O que eu não via era que eles estavam caçando 6 horas por dia, enquanto eu ainda estava no modo tutorial. A cronologia parecia a mesma por fora. As entradas eram completamente diferentes. Essa realização é algo em que ainda estou ativamente trabalhando: passar de observar o que todos os outros estão fazendo para simplesmente colocar as horas que ainda não são visíveis. Você não está atrasado em relação às pessoas à sua frente. Você só não está vendo o que elas realmente estão fazendo para estar lá.

A maioria das pessoas acha que entrar na segurança de contratos inteligentes exige um diploma em ciência da computação, anos de experiência ou algum tipo de permissão especial. Isso não é verdade. O que realmente é necessário é a disposição para ficar sentado com código que não faz sentido, parecer tolo enquanto aprende em público e voltar no dia seguinte, mesmo assim. A barreira não é técnica. É psicológica. E isso é, na verdade, uma ótima notícia, porque barreiras psicológicas são as únicas que você pode escolher atravessar.

Na web2, se alguém te hackear, você bloqueia contas, liga para o banco e envolve as autoridades. Na web3, a transação é final. Não há bloqueio, não há reversão, não há número de suporte ao cliente. Código é lei, o que soa poderoso até que o código tenha um bug. Então, código é apenas um erro caro que ninguém pode desfazer. É por isso que a segurança na web3 não é opcional. É toda a fundação.