QuillAudits ekibi, @EFDevcon için Mumbai'ye ulaştı. Denetçilerimiz, araştırmacılarımız, geliştiricilerimiz, pazarlama ekibimiz ve liderlik ekibimiz, Web3 topluluğuyla buluşmak, konuşmak ve bağlantı kurmak için şehirde. Tokenizasyondan blok zinciri güvenliğine kadar, Web3'ün geleceğini şekillendiren tartışmalara katılmaktan heyecan duyuyoruz. Devcon'da bizi bulmak istiyorsanız: Ekibimizin nereye gittiğini takip edin, hangi etkinliklere kimlerin katılacağını görün ve Devcon boyunca bizi bulmak için UsePulse üzerinde kaydolun! 👇 Etkinlik programımızı inceleyin: https://t.co/15F1ESWie1

Ngl başlık bir anlık beni korkuttu. 8+ yıldır denetimler satıyoruz 😅 Ama tamamını okuduktan sonra gerçek nokta daha da vurucu geldi. Müşteriler denetimlerden nefret etmiyor, sadece düzeltilmesi neye mal olacaklarını bilmeden bir sorun listesi için ödeme yapmaktan nefret ediyorlar. Ve dürüst olmak gerekirse, web3 güvenliği tam olarak aynı sorunu yaşıyor. Kurucular, ana ağa kadar denetimleri son haftaya bırakıyorlar çünkü onlar için bu sadece bir PDF ve bir fatura. Sonra rapor geliyor, geliştiriciler bulguları düzeltiyor ve ekip neredeyse hiçbir şey öğrenmiyor. Bu durumu QuillShield ile doğrudan gözlemledik. 12 ajanlı bir denetimin “reddedildi” olarak işaretlediği bir hata için, QuillShield bağımsız olarak farklı bir saldırı yolu buldu. QuillShield, geçerli olan bir saldırı testi yazdı ve bir insan denetçisi ana ağ çatallanmasında bunu doğruladı. Dört inceleyici, hatanın gerçek olduğunu kabul etti. Yapay zeka ajanslarında ve güvenlikte gerçekten işe yarayan şey: Ekibinizi, çalışmalarını inceledikçe eğitin. En iyi bulgular, size gerçek iş akışlarını gösteren kişilerden gelir. Sadece bir raporla değil, bulduğunuzdan daha iyi bir şekilde bırakın. “Denetim hâlâ gerçekleşiyor. Sadece ön ödemeden talep edilmesi gerekmiyor.” Bir şey oluşturuyor ve Devcon’a geliyorsunuz? Ekibinizin denetimden sonra uzun süre güvenli kalmasını nasıl sağladığımızı konuşalım. DM’lerim açık 🤝 İyi okuma @lukepierceops 👇

Dürüst olmak gerekirse, bu, piyasanın nereye doğru gittiği konusunda nesnel bir bakış açısı yerine, insanların bitcoin'lerini satmaya ikna etmek için bir pazarlama stratejisi gibi görünüyor. Dijital ilk dünyaya doğru ilerliyoruz; @PhonePe ve diğer dijital ödeme uygulamalarına bakın. İnsanlar, teknolojinin işlemlerini daha hızlı, daha kolay ve daha pratik hale getirmesi nedeniyle nakitsizleşmeye doğru gidiyor. Bitcoin ve dijital varlıklarla aynı dönüşüm yaşıyor: daha hızlı küresel işlemler, sınırların ötesinde ödeme yapma, finansal erişim ve geleneksel araçılar olmadan değer transferi imkanı. Her teknolojinin sınırları ve riskleri vardır, ancak bu, potansiyelini reddetmememiz gerektiği anlamına gelmez. Teknoloji, sorunları çözmek için gelişir. Asıl soru, Bitcoin'in hataları olup olmadığı değil, uzun vadeli faydasının ve kabulünün büyütmeye devam edip edemeyeceği. Ortaya çıkan bir teknolojiyi yalnızca mevcut piyasa performansına göre değerlendirmek, daha büyük resmi kaçırmak anlamına gelebilir. AI agenteri, hizmetler için ödeme yapma, verilere erişme ve görevleri özerk olarak yürütme şekli gerektirecek. @base x402 gibi protokoller, AI agenteri ile hizmetler arasında internete özgü ödemeleri sağlayacaktır. AI agenteri daha yetenekli hale gelip süper zekâya doğru ilerledikçe, programlanabilir ödemelere, makine ile makine arasındaki işlemlere ve izinsiz finansal altyapıya olan ihtiyaç önemli ölçüde artabilir. Bitcoin'in, blok zincirin veya kripto paranın, AI'nın daha değerli hale gelmesi nedeniyle sadece kaybolacağını düşünmüyorum. Tam tersine, AI agenterinin yükselişi, blok zincir ve dijital varlıklar için yeni kullanım senaryoları yaratabilir. Asıl soru, AI'nın mı yoksa kriptonun mu kazanacağı değil; ikisinin birlikte nasıl gelişerek internetin bir sonraki neslini inşa edecekleri.

Takımımızı bu ürünü piyasaya sürdükleri için gururla karşılıyorum. Geliştiricilerin neden bunu kullanması gerekiyor: 1. Tespit oranı – EVM-bench üzerinde %84. 2. Doğrulanmış PoC istismarları – Tam bir denetimdeki her bulgu, çalışır bir kanıt-kavram istismarı içerir; böylece düzeltmeden önce kırılmayı görürsünüz. 3. CI/CD kapsaması – İlk denetimden sonra, her PR, birleştirme isteği ve commit, GitHub Uygulaması, Actions veya GitLab webhook aracılığıyla otomatik olarak taranır ve denetimler arasında kapsama sürekli kalır. 4. Proje hafızası – Araç, her proje için bir hafıza tutar (belgeler, bağlam, geçmiş bulgular), böylece her tarama, öncekilerden daha iyi şekilde kod tabanınızı anlar. 5. Geliştirici aracına entegre – REST API, qs CLI, Cursor ve Claude için MCP ve Foundry projeleri aracılığıyla mevcuttur. GitHub, GitLab, zip dosyaları veya .sol dosyalarından içe aktarın.

Herkes, Ledger ile son zamanlarda neler olduğunu biliyor. Ancak gerçek ders nedir? Bir satıcı, cihazlara fiziksel olarak bir cihaz yerleştirmiş. Bu yerleştirilen cihaz, kurulum sırasında ekranı izliyor, 24 kelimelik seed’i çalıyor ve LTE üzerinden gönderiyor. Secure Element hiç dokunulmadı. Gerçeklik Kontrolü hâlâ geçti. Bu sadece bir Ledger sorunu değil. Satın aldığınız her fiziksel ürün için geçerli: başka bir donanımsal cüzdan, ikinci el bir telefon, bir satıcıdan “yeni” bir cihaz, fabrikadan elinize ulaşana kadar arada kalan her şey. Güvenliğiniz, bu ürünün size ulaşana kadar izlediği yol kadar güçlüdür. Gerçekten önemli temel OPSEC kuralları: Her zaman mümkünse doğrudan üreticinin web sitesinden satın alın. Bu, donanım tedarik zinciri riskinin büyük bir kısmını ortadan kaldırır. • Daha yüksek tutarlar için → yalnızca çoklu imza (multisig). Bir cihazın kompromesine uğraması tek başına hiçbir şeyi harekete geçiremez. • Yazılım zafiyetlerine karşı: Cihazı (veya ana ortamı) temiz olarak kabul etmeden önce iki veya üç kez sıfırlayın/yeniden yükleyin. • Kökeni hakkında en ufak bir şüphe duyduğunuz bir cihazdan asla bir seed’i (veya özel veriyi) güvenmeyin. • İlk kurulumda en kötü senaryoyu varsayın. Önce küçük miktarlarla test edin. Donanım hâlâ işliyor. Güvenlik konusunda her zaman şüpheci olun.

Eğer rapor edilen @OpenAI ve @trailofbits alımı gerçekleşirse, bunun siber güvenliğin geleceği için büyük bir işaret olabileceğini düşünüyorum. Trail of Bits, ciddi güvenlik araştırmaları, açık kaynaklı araçlar ve derin teknik uzmanlık yoluyla itibarını inşa etti. “Patch the Planet” üzerine OpenAI ile yaptığı iş birliği, AI'nın ve güvenlik uzmanlığının ölçekli olarak zafiyetleri bulup düzeltmek için nasıl bir araya gelebileceğini gösteriyor. Peki neden bir güvenlik firması satın alınmalı? Ön uç AI laboratuvarları daha iyi modellerden daha fazlasına ihtiyaç duyuyor. Gerçek dünya güvenlik uzmanlığı, zafiyet veri kümelerine ve yazılımın nasıl bozulduğunu anlayan insanlara ihtiyaç duyuyor. Trail of Bits gibi bir ekip, modellerin zafiyetleri nasıl keşfedeceğini, nasıl düşünüp nasıl düzelteceğini iyileştirmeye yardımcı olabilir. Trail of Bits için avantaj da eşit derecede ilginç: daha fazla sermaye, daha büyük kaynaklar ve potansiyel olarak ön uç modellere daha derin erişim. Güvenlik uzmanlığını giderek daha yetenekli AI sistemleriyle birleştirmeyi hayal edin. Daha büyük soru, bunun bir trend haline gelip gelmeyeceği. Çinli ön uç AI şirketleri de dahil olmak üzere diğer AI laboratuvarlarının benzer ortaklıklar veya satın almalar gerçekleştirmesinden şaşırmazdım. Web3 güvenlik firmaları da bu dönüşümün bir parçası olabilir. Bir ön uç AI laboratuvarının @CertiK gibi bir firmayı satın alması veya bununla derin stratejik bir ortaklık kurması hayal edin. Zaten Web3 güvenliğinde birleşme gördük, örneğin @zellic_io'nun @code4rena'yı satın alması. AI bu süreci daha da hızlandırabilir. Ancak bir kapanış var. AI, zafiyet keşfini daha ucuz ve ölçeklenebilir hale getirdikçe, güvenlik çalışmalarının değeri değişebilir. Tamamen manüel denetimler artan baskıya maruz kalabilirken, AI kullanarak daha derin, daha karmaşık hataları keşfedebilen araştırmacılar daha da değerli hale gelebilir. Sonuç olarak? LLM'lerle çalışmayı öğrenin. Araçlar geliştirin. Hataları bulun. Araştırmalarınızı yayınlayın. İtibar inşa edin. Gelecek, AI ile rekabet eden denetçilerin değil, onu diğerlerinden daha iyi kullanmayı bilenlerin olabilir. Siber güvenlik yeni bir aşamaya giriyor ve Web3 güvenliği bu etkiden mahrum olmayacak.

Bu haberi duymak üzücü. Buradan alınacak önemli bir ders, büyük miktarlarda fonları tek bir cüzdan içinde tutmanın büyük bir tek noktalı arıza kaynağı oluşturmasıdır. Riski önemli ölçüde azaltmaya yardımcı olabilecek bazı temel uygulamalar: → Tüm fonları tek bir yerde tutmak yerine, büyük miktarları birden fazla cüzdana bölün. → Önemli tutarlar için donanımsal/soğuk cüzdanlar kullanın. Anahtarların çevrimiçi sistemlerden izole tutulması, bunların uzaktan ele geçirilmesini çok daha zor hale getirir. → Büyük tutarlar için çoklu imzalı (multisig) sistemler kullanın. Birden fazla bağımsız imza gerektirmek, tek bir imzalayıcının/anahtarın ele geçirilmesinin fonların taşınması için yeterli olmadığını anlamına gelir. → Güçlü @opsek_io önemlidir. Ne imzaladığınızı, anahtarlarınız nerede saklandığını, kimlerin erişime sahip olduğunu ve hangi bilgileri kamuoyuna paylaştığınızı anlayın. Bunların hiçbirisi sihirli bir çözüm değildir, ancak birlikte bir ihlalin etki alanını büyük ölçüde azaltabilir. Herhangi bir sorunuz veya yardıma ihtiyacınız varsa bana DM atmaktan çekinmeyin. Yapabildiğim kadar yardımcı olmaktan memnuniyet duyarım.

Base Batches 004 için seçilen tüm takımlara tebrikler 👏 Bir güvenlik şirketi olarak, güvenliğin ilk olaydan sonra eklenmesi değil, ilk günden itibaren inşa edilmesi gerektiğini düşünüyoruz. Her takımın inşa ederken dikkat etmesi gereken birkaç şey: 1. OpSec + altyapı güvenliği Güvenlik, takımlarınızla başlar. Çalışanlarınızı ve çekirdek ekibinizi güvenlik en iyi uygulamaları konusunda eğitin, özellikle @opsek_io tarafından paylaşılan ipuçları, phishing farkındalığı, hesap güvenliği, anahtar yönetimi ve sosyal mühendislik konularında. Önemli toplantıları ve kritik sistemlere her zaman kişisel cihazlardan ziyade ayrılmış çalışma dizüstü bilgisayarlarından veya cihazlardan erişin. Takımınız genellikle ilk savunma hattıdır. Bir cihazın, hesabın veya çalışanın tehlikeye girmesi, çok daha büyük bir saldırı için giriş noktası haline gelebilir. 2. Çoklu imza + güvenli cihazlar 100.000 dolarlık finansman alıyorsunuz; bunun bir kısmını güvenliğe yatırım yapmak için kullanın. @Ledger gibi donanımsal cüzdanlar edinin, kritik fonlarınız için çoklu imza sistemi kullanın ve çalışma/kripto işlemlerine ayrılmış cihazlar tutun. Her şeyi aynı cihazda yapmayın. Çalışma, kişisel aktiviteler ve kritik imza işlemlerini ayırarak, kötü amaçlı yazılım veya tehlikeye girmiş bir cihazın en hassas sistemlerinize ulaşma şansını azaltabilirsiniz. Tek bir tehlikeye girmiş anahtarın ciddi hasara neden olması asla yeterli olmamalıdır. Güvenli çoklu imza taraması için ürünümüze entegre olabilirsiniz: https://t.co/85ArM12r7p 3. Ön uç güvenliği Sözleşmeleriniz mükemmel şekilde güvenli olsa bile, kullanıcılar hâlâ tehlikeye girmiş bir ön uç aracılığıyla tükenmeye maruz kalabilir. Phishing, DNS/alan adı tehlikeye girmesi ve kötü niyetli UI değişiklikleri yaygın saldırı yollarıdır. Kullanıcılarınızın gerçekten etkileşime girdiği arayüzü koruyun. 4. Zincir üstü izleme + olay yanıtı Güvenlik, dağıtım sonrası durmaz. 24/7 izleme, anormal işlemler, yönetici değişiklikleri, şüpheli fon hareketleri ve diğer anomaliyi erken tespit etmeye yardımcı olabilir. Ve bir şey olduğunda, hız önemlidir. Net bir olay yanıtı planına, tanımlanmış rollerine ve bir saldırıyı hızlıca kontrol altına alma yeteneğine sahip olun. Güvenlik bir maliyet getirir. Ancak inşa ettiğiniz şeyi güvence altına almadan bırakmanın maliyeti çok daha yüksek olabilir. Yine de, tüm takımlara tebrikler; hızlı inşa edin ama güvenli inşa edin. 🔐 Güvenlikle ilgili herhangi bir şeyi tartışmak isterseniz, bana DM atmakta özgürsünüz! CC: @SaturdayBank @mercatus_ai @contavcbr @Tribeca_xyz @Flovia402 @bitrepo_xyz @get_grow_app @GreekDotFi @LEDiG_Tech @RennFinance

“CyberChainBench: AI Ajanları, Akıllı Sözleşmeleri Gerçek Dünya Zincir Üzerindeki Güvenlik Açıklarına Karşı Koruyabilir mi?” Akıllı sözleşme güvenliği konusunda AI ajanlarının şu anki durumu hakkında gerçekten ilginç bir araştırma. Kağıt, 9 EVM zinciri üzerindeki 541 gerçek dünya istismarına karşı AI ajanlarını değerlendiriyor —> sentetik açıklar veya statik kod parçaları değil. Ajanların üç şey yapması gerekiyordu: • Açığı tespit etmek • İstismarı yeniden üretmek • Açığı düzeltmek Bazı çıkarımlarım 👇

@CoinFerenceX’te bugünki paneli kapattık Kurumsal Sermayeyi Güvence Altına Alma: Kullanım, Saldırılar ve Yeni Tehdit Haritası Katılımcılar: Jason Jiang (CBO, @CertiK) Alex Horlan (CTO, @d0rsky @HackenProof) Jock Haslam (@jockhaslam @Hashlock_) Moderatör: Adam Wasserman Kullanım riskleri, gerçek dünyada gerçekleşen saldırılar, tedarik zinciri zafiyetleri ve kurumsal sermayeyi korumada AI’nın gelişen rolü üzerine derinlemesine bir tartışma yürüttük. @QuillAudits_AI’yi RWA ve tokenizasyon güvenliğinde bir öncü olarak temsil etmekten gurur duyuyoruz; zincir üzerindeki dünya için tam yığın güvenliği inşa etmeye devam ediyoruz.