Команда QuillAudits прибыла в Мумбаи на @EFDevcon. Наши аудиторы, исследователи, разработчики, маркетинговая команда и руководство находятся в городе, проводя встречи, выступая и общаясь с сообществом Web3. От токенизации до безопасности блокчейна — мы рады участвовать в обсуждениях, формирующих будущее Web3. Если вы хотите встретиться с нами на Devcon, Отслеживайте, куда направляется наша команда, смотрите, кто участвует в каких мероприятиях, и регистрируйтесь на UsePulse, чтобы найти нас на протяжении всего Devcon! 👇 Ознакомьтесь с нашим расписанием событий: https://t.co/15F1ESWie1

Честно говоря, заголовок на мгновение меня напугал. Мы уже более 8 лет продаем аудиты 😅 Но когда я прочитал всё до конца, суть ударила сильнее. Клиенты не ненавидят аудиты — они ненавидят платить за список проблем, прежде чем узнают, сколько будет стоить их устранение. И честно, в веб3-безопасности та же самая проблема. Основатели откладывают аудиты до последней недели перед мейннетом, потому что для них это просто PDF и счёт. Затем отчёт приходит, разработчики исправляют найденные уязвимости, а команда почти ничего не учит. Мы это видели на примере QuillShield. Он самостоятельно обнаружил другой путь атаки на баг, который 12-агентный аудит отметил как опровергнутый после того, как защита заблокировала проверенный путь. QuillShield написал эксплойт-тест, который прошёл, и человеческий аудитор подтвердил его на форке мейннета. Четыре рецензента согласились, что баг реален. Что действительно работает — и в ИИ-агентствах, и в безопасности: Обучайте команду, пока изучаете их работу. Лучшие находки возникают, когда люди показывают вам свои реальные рабочие процессы. Оставляйте их лучше, чем вы их нашли — не просто с отчётом. «Аудит всё ещё происходит. Просто он не должен быть тем, за что вы просите платить заранее». Создаёте что-то и приедете на Devcon? Давайте обсудим, как ваша команда остаётся безопасной долгое время после аудита. Мои личные сообщения открыты 🤝 Отличная статья @lukepierceops 👇

Честно говоря, это больше похоже на маркетинговую стратегию, направленную на то, чтобы убедить людей продать свой bitcoin, чем на объективный анализ того, куда движется рынок. Мы движемся к миру, где цифровое первично — посмотрите на @PhonePe и другие цифровые платёжные приложения. Люди переходят на безналичные расчёты, потому что технологии делают транзакции быстрее, проще и удобнее. То же самое происходит с bitcoin и цифровыми активами: более быстрые глобальные транзакции, платежи без границ, финансовая доступность и возможность передачи стоимости без полной зависимости от традиционных посредников. У каждой технологии есть ограничения и риски, но это не значит, что следует игнорировать её потенциал. Технологии развиваются, чтобы решать проблемы. Настоящий вопрос не в том, есть ли у bitcoin недостатки, а в том, сможет ли его долгосрочная полезность и принятие продолжать расти. Оценивать новую технологию исключительно по её текущей рыночной производительности означает упустить более широкую картину. Агенты ИИ потребуют способа оплачивать услуги, получать доступ к данным и автономно выполнять задачи. Протоколы, такие как @base x402, позволяют осуществлять платежи, нативные для интернета, между агентами ИИ и сервисами. По мере того как агенты ИИ становятся более способными и приближаются к суперинтеллекту, потребность в программируемых платежах, машина-машина транзакциях и разрешительной финансовой инфраструктуре может значительно возрасти. Я не думаю, что bitcoin, блокчейн или криптовалюта просто исчезнут, потому что ИИ становится более ценным. Наоборот, рост агентов ИИ может создать новые сценарии использования блокчейна и цифровых активов. Настоящий вопрос не в том, кто победит — ИИ или криптовалюта. Вопрос в том, как они будут развиваться вместе, чтобы построить следующее поколение интернета.

Гордимся командой за выпуск этого инструмента. Почему разработчикам стоит его использовать: 1. Коэффициент обнаружения — 84 % на EVM-bench. 2. Проверенные PoC-эксплойты — Каждое выявленное уязвимость в полном аудите сопровождается рабочим доказательством концепции, чтобы вы видели уязвимость до того, как исправите её. 3. Покрытие CI/CD — После первоначального аудита каждый PR, merge request и коммит автоматически сканируется через GitHub App, Actions или вебхук GitLab, обеспечивая непрерывное покрытие между аудитами. 4. Память проекта — Инструмент сохраняет память для каждого проекта (документы, контекст, прошлые находки), позволяя каждому сканированию лучше понимать вашу кодовую базу, чем предыдущее. 5. Нативная интеграция с инструментами разработчика — Доступен через REST API, qs CLI, MCP для Cursor и Claude, а также для проектов Foundry. Импорт из GitHub, GitLab, zip-файлов или .sol-файлов.

Все знают, что произошло с Ledger недавно. Но в чем настоящий урок? Реселлер имел устройства с физически встроенными устройствами. Встроенное устройство отслеживало экран во время настройки, крало 24-словную фразу-семя и отправляло ее через LTE. Secure Element вообще не был затронут. Проверка подлинности все еще проходила. Это не только проблема Ledger. Это относится к любому физическому продукту, который вы покупаете: другому аппаратному кошельку, б/у телефону, «новому» устройству от реселлера — всему, что находится между заводом и вашими руками. Ваша безопасность настолько же надежна, насколько надежен путь, которым прошел продукт, чтобы добраться до вас. Базовые меры ОПБЕЗОПАСНОСТИ, которые действительно важны: Покупайте напрямую на веб-сайте производителя, когда это возможно. Это исключает большинство рисков цепочки поставок оборудования. • Для крупных сумм → только мультиподпись. Один скомпрометированный устройство не может ничего переместить самостоятельно. • Против программных уязвимостей: сбросьте / переустановите устройство (или ключевую среду) два или три раза, прежде чем считать его чистым. • Никогда не доверяйте семени (или другим конфиденциальным данным) от устройства, если есть хоть малейшие сомнения в его происхождении. • Тестируйте с небольшими суммами сначала. Предполагайте худшее при первой настройке. Оборудование все еще работает. Всегда будьте подозрительны в вопросах безопасности.

Если сделка по приобретению @OpenAI и @trailofbits состоится, я считаю, что это может стать важным сигналом для будущего кибербезопасности. Trail of Bits заслужил свою репутацию благодаря серьезным исследованиям в области безопасности, инструментам с открытым исходным кодом и глубоким техническим опыту. Его сотрудничество с OpenAI в рамках проекта «Patch the Planet» также демонстрирует, как ИИ и экспертиза в области безопасности могут объединиться для масштабного выявления и устранения уязвимостей. Но зачем приобретать компанию по кибербезопасности? Лабораториям передовых ИИ-моделей нужно больше, чем просто улучшенные модели. Им нужны реальные экспертные знания в области безопасности, наборы данных об уязвимостях и специалисты, понимающие, как именно программное обеспечение ломается. Команда, подобная Trail of Bits, может помочь улучшить способы, которыми модели обнаруживают, анализируют и устраняют уязвимости. Для Trail of Bits преимущества также весьма привлекательны: больше капитала, большие ресурсы и потенциально более глубокий доступ к передовым моделям. Представьте, как сочетание их экспертизы в области безопасности с все более мощными ИИ-системами может изменить правила игры. Более широкий вопрос: станет ли это тенденцией? Я не удивлюсь, если другие ИИ-лаборатории, включая китайские компании, работающие на переднем крае ИИ, последуют похожему пути — заключат аналогичные партнерства или проведут поглощения. К таким изменениям могут присоединиться и компании из сферы Web3-безопасности. Представьте, как передовая ИИ-лаборатория приобретает такую компанию, как @CertiK, или заключает с ней глубокое стратегическое партнерство. Мы уже видели консолидацию в сфере Web3-безопасности — например, приобретение @code4rena компанией @zellic_io. ИИ может ускорить этот процесс еще больше. Но есть один нюанс. По мере того как ИИ делает обнаружение уязвимостей дешевле и масштабируемее, ценность работы в области безопасности может измениться. Чисто ручные аудиты могут столкнуться с растущим давлением, тогда как исследователи, способные использовать ИИ для выявления более глубоких и сложных багов, станут еще более ценными. Мой вывод? Научитесь работать с LLM. Создавайте инструменты. Ищите уязвимости. Публикуйте исследования. Строите репутацию. Будущее может принадлежать не аудиторам, которые конкурируют с ИИ, а тем, кто умеет использовать его лучше всех остальных. Кибербезопасность вступает в новую фазу, и Web3-безопасность не останется в стороне.

Жаль это слышать. Один важный вывод здесь заключается в том, что хранение большой суммы средств в одном кошельке создает серьезную единую точку отказа. Несколько простых практик, которые могут значительно снизить риски: → Распределяйте крупные суммы между несколькими кошельками, а не храните всё в одном месте. → Используйте аппаратные/холодные кошельки для значительных активов. Изоляция ключей от онлайн-систем делает их намного сложнее для удалённого компрометирования. → Используйте мультиподписи для крупных сумм. Требование нескольких независимых подписей означает, что компрометация одного подписывающего лица/ключа недостаточна для перемещения средств. → Важны надёжные @opsek_io. Понимайте, что именно вы подписываете, где хранятся ваши ключи, кто имеет к ним доступ и какую информацию вы публично делитесь. Ни одна из этих мер не является панацеей, но вместе они могут значительно сократить масштабы возможного компрометирования. Не стесняйтесь написать мне в личные сообщения, если у вас есть вопросы или нужна помощь. С радостью помогу, где смогу.

Поздравляем все команды, отобранные для Base Batches 004 👏 Как компания в сфере безопасности, мы считаем, что безопасность должна быть заложена с первого дня, а не добавляться после первого инцидента. Вот несколько вещей, которые каждая команда должна учитывать при разработке: 1. OpSec + безопасность инфраструктуры Безопасность начинается с вашей команды. Обучите сотрудников и ключевых членов команды лучшим практикам безопасности, особенно советам от @opsek_io, осведомленности о фишинге, безопасности аккаунтов, управлению ключами и социальной инженерии. Всегда посещайте важные встречи и получайте доступ к критически важным системам с выделенных рабочих ноутбуков/устройств, а не с личных устройств. Ваша команда часто является первой линией обороны. Одно скомпрометированное устройство, аккаунт или сотрудник могут стать точкой входа для гораздо более масштабной атаки. 2. Мультиподпись + безопасные устройства Вы получаете финансирование в размере $100 000 — используйте часть этих средств для инвестиций в безопасность. Приобретите аппаратные кошельки, такие как @Ledger, используйте мультиподписи для критически важных средств и выделяйте отдельные устройства исключительно для рабочих/криптоопераций. Не используйте одно и то же устройство для всех целей. Разделение рабочих, личных и критически важных операций по подписи снижает вероятность того, что вредоносное ПО или скомпрометированное устройство достигнет ваших самых чувствительных систем. Одного скомпрометированного ключа никогда не должно быть достаточно для нанесения серьезного ущерба. Для безопасного сканирования мультиподписей вы можете интегрироваться в наш продукт: https://t.co/85ArM12r7p 3. Безопасность фронтенда Ваши контракты могут быть абсолютно безопасными, но пользователи все равно могут быть ограблены через скомпрометированный фронтенд. Фишинг, компрометация DNS/домена и вредоносные изменения интерфейса — распространенные векторы атак. Защищайте интерфейс, с которым взаимодействуют ваши пользователи. 4. Мониторинг в цепочке + реагирование на инциденты Безопасность не заканчивается после развертывания. Круглосуточный мониторинг помогает своевременно обнаруживать необычные транзакции, изменения администраторов, подозрительные перемещения средств и другие аномалии. И когда что-то все же происходит — скорость имеет значение. Имейте четкий план реагирования на инциденты, определенные роли и возможность быстро локализовать атаку. Безопасность имеет свою цену. Но цена отсутствия безопасности того, что вы создаете, может быть намного выше. Еще раз поздравляем все команды: стройте быстро, но стройте безопасно. 🔐 Если хотите обсудить что-либо о безопасности — пишите мне в личные сообщения! CC: @SaturdayBank @mercatus_ai @contavcbr @Tribeca_xyz @Flovia402 @bitrepo_xyz @get_grow_app @GreekDotFi @LEDiG_Tech @RennFinance

Прочитайте «CyberChainBench: Могут ли агенты ИИ защитить смарт-контракты от реальных уязвимостей в блокчейне?» Очень интересное исследование о текущем уровне развития агентов ИИ в области безопасности смарт-контрактов. В работе оцениваются агенты ИИ на основе 541 реального эксплойта на 9 цепочках EVM — не синтетических уязвимостей или статических фрагментов кода. Агентам требовалось выполнить три задачи: • Обнаружить уязвимость • Воспроизвести эксплойт • Исправить уязвимость Некоторые мои выводы 👇

Завершил сегодняшнюю панельную дискуссию в @CoinFerenceX На тему: Безопасность институционального капитала: хранение, атаки и новая угроза Участники: Джейсон Цзян (CBO, @CertiK) Алекс Горлан (CTO, @d0rsky @HackenProof) Джок Хаслам (@jockhaslam @Hashlock_) Модератор: Адам Вассерман Мы подробно рассмотрели риски хранения, реальные инциденты, уязвимости цепочки поставщиков и эволюцию роли ИИ в защите институционального капитала. Горжусь тем, что представляю @QuillAudits_AI как передовую силу в области безопасности RWA и токенизации, продолжая создавать комплексную безопасность для он-чейн мира.