Шесть вещей о изучении безопасности смарт-контрактов, о которых ни один курс, тред или дорожная карта вас не предупредят: 1. Разница между «я могу объяснить эту уязвимость» и «я могу обнаружить эту уязвимость в незнакомом коде» — это настоящая работа. Все учат первому. Почти никто не учит второму. 2. Каждый отчёт об аудите, который вы читаете, учит вас не меньше, чем любой курс, но никто не говорит вам читать их. 3. Дефи-примитивы, Aave, Uniswap, кредитование, AMM — это не опционально. Вы не можете аудировать то, чего не понимаете. 4. Навык оформления отчёта — половина вознаграждения. Нахождение уязвимости — другая половина. 5. ИИ — лучший учебный партнёр в мире, если вы используете его правильно. Это самый быстрый способ притвориться, что вы прогрессируете, если вы этого не делаете. Никто не оценивает ваш прогресс. Эта свобода — и суть, и самая сложная часть. Никто не присылает вам этот список. Вы пишете его сами по мере продвижения.

Большинство людей выбирают более лёгкий путь. Не потому что ленивы — потому что он проще. Быстрее результат, ясная обратная связь, работа в конце, которую можно объяснить родителям. Я выбрал безопасность смарт-контрактов. Подъём жестокий. Обратная связь занимает месяцы. Иногда тяжело понять, продвинулся ли я вообще. Но потолок другой, и сомнения, которые я испытываю большинство ночей, — просто цена за стремление к этому. Если и ты на сложном пути — тебе не нужно, чтобы он стал легче. Тебе нужно просто продолжать приходить.

Несколько недель назад я защитил свой выпускной проект в университете — систему блокчейн-голосования для университетских выборов с верификацией личности через keccak256. Шесть месяцев работы. Затем на этой неделе я прочитал разбор BonkDAO: $20 млн были похищены без единой уязвимой строки кода. Злоумышленник просто купил достаточно токенов, чтобы одобрить предложение. Моя система сломалась бы точно так же. Код был чистым, хеширование личности работало, проверки-эффекты-взаимодействия применялись повсюду. Но я никогда не моделировал экономический слой. Я никогда не задавался вопросом: что произойдет, если стоимость приобретения голосующей силы упадет ниже стоимости того, чем управляет голосование. Моя комиссия по защите тоже этого не заметила — потому что в университете никто на это не смотрит. Промежуток между тем, что ваш код корректен, и тем, что система безопасна, — именно там и живет настоящая работа. Именно этим я собираюсь заниматься в ближайшие несколько лет.

Только что написал свои финальные работы и защитил проект. Университет официально окончен. 7 месяцев занимаюсь безопасностью смарт-контрактов. Нулевые находки. И впервые в жизни я полностью владею своим днём. Поэтому я даю себе следующие 3 месяца одну задачу: моя первая действительная находка до 1 октября. Ежедневный распорядок: → Ethernaut challenge каждый день → завершение продвинутого курса @CyfrinUpdraft по Foundry → чтение отчётов Solodit, чтобы понять, как находят реальные уязвимости → всё документируется на GitHub Первая остановка: First Flights. Честно говоря, охота за реальными уязвимостями в реальных кодовых базах пугает меня. Учебники заставляют чувствовать себя готовым. Я знаю, что, скорее всего, я ещё не готов. Но я документирую весь процесс здесь — победы, отказы, всё это. Если вы тоже только начинаете в этой сфере — присоединяйтесь. Давайте посмотрим, как выглядят 90 дней полной сосредоточенности.

7 месяцев в области безопасности смарт-контрактов. Пока никаких находок. Но я что-то понял об ИИ, что изменило мой подход к обучению. Я неделю не мог пройти тесты Foundry. Постоянно просил Клода их исправить — он исправлял, но потом что-то другое ломалось. Цикл не имел конца. Затем я перестал просить исправить ошибки и начал просить объяснения. Вдруг я начал реально понимать код, а не просто применять костыли. Маленькое изменение. Совсем другой результат. Если вы джун, использующий ИИ, чтобы обойти сложные части, вы обходите единственный этап, который действительно делает вас хорошим.

Большинство людей вошли в web3, ища быстрые деньги. Очень немногие были готовы выполнять техническую работу, которая действительно создаёт ценность. Все хотели аирдроп. Почти никто не хотел понимать контракт, который его распределяет. Все хотели доход. Почти никто не хотел аудировать протокол, который его генерирует. Возможность всегда была не в хайпе, а в разрыве между тем, сколько людей хотели награду, и сколько готовы были выполнить базовую работу. Этот разрыв всё ещё широко открыт.

Хакеры уже используют ИИ для поиска уязвимостей. Люди, защищающие протоколы, всё ещё спорят, можно ли его использовать. Подумайте об этом секунду. Пока белые шляпы ведут этические дискуссии о применении ИИ в безопасности, чёрные шляпы уже дали на этот вопрос ответ и перешли к действиям. Они используют ИИ для быстрого сканирования кодовых баз, генерации гипотез об эксплуатации и выявления крайних случаев, которые человеческие аудиторы пропускают после долгих сессий проверки. Сторона атаки всегда двигалась быстрее стороны защиты. ИИ только расширил этот разрыв. Это не прогноз о будущем безопасности — это то, что уже происходит. $2,1 млрд, потерянные из-за эксплуатаций в прошлом году, исчезли не потому, что злоумышленники стали умнее. Они исчезли потому, что они стали менее колеблющимися. Аудиторы и исследователи, которые первыми научатся использовать ИИ как оружие до того, как это сделают их цели, определят, как будет выглядеть безопасность веб3 через три года. Те, кто ждёт разрешения, уже отстают.

Я почти бросил безопасность смарт-контрактов на четвёртом месяце, потому что человек, с которым я начал, нашёл свою первую уязвимость раньше меня. Одна и та же дата старта. Одни и те же ресурсы. Разный результат. И я воспринял это на личный счёт. Чего я тогда не видел, так это того, что он искал уязвимости по шесть часов в день, в то время как я всё ещё проходил учебные материалы. Снаружи график выглядел одинаково, но входные данные были совершенно разными. Это осознание — то, над чем я до сих пор активно работаю: перестать следить за тем, что делают другие, и начать вкладывать те часы, которые пока невидимы. Вы не отстаёте от людей, которые впереди вас. Вы просто не видите того, что они реально делают, чтобы оказаться там.

Большинство людей считают, что для входа в сферу безопасности смарт-контрактов нужна степень в области компьютерных наук, годы опыта или какое-то особое разрешение. Это не так. На самом деле требуется только готовность сидеть с кодом, который не имеет смысла, выглядеть глупо, пока учишься на публике, и возвращаться за этим же кодом на следующий день. Препятствие — не техническое. Оно психологическое. А это, на самом деле, отличная новость, потому что психологические барьеры — это те, через которые ты можешь выбрать, чтобы пройти.

В веб2, если кто-то взломает вас, вы блокируете аккаунты, звоните в банк, привлекаете правоохранительные органы. В веб3 транзакция окончательна. Нет блокировки, нет отмены, нет номера службы поддержки. Код — это закон, что звучит мощно, пока в коде нет ошибки. Тогда код — это просто дорогостоящая ошибка, которую никто не может отменить. Вот почему безопасность в веб3 — это не опция. Это основа всего.