Akıllı sözleşme güvenliğini öğrenme konusunda hiçbir kursun, gönderinin ya da yol haritasının sizi hazırlamadığı altı şey: 1. “Bu hatayı açıklayabilirim” ile “tanımadığınız kodda bu hatayı fark edebilirim” arasındaki boşluk, gerçek çalışmadır. Herkes ilkini öğretir. Neredeyse kimse ikinciyi öğretmez. 2. Okuduğunuz her denetim raporu, herhangi bir kurs kadar sizi öğretir, ancak kimse size bunları okumanızı söylemez. 3. DeFi temelleri, Aave, Uniswap, kredi verme, AMM’ler seçeneğin değil, zorunludur. Anlamadığınız bir şeyi denetleyemezsiniz. 4. Yazma becerisi, ödülin yarısıdır. Hatayı bulmak diğer yarısıdır. 5. AI, doğru şekilde kullanırsanız dünyadaki en iyi çalışma ortağıdır. Eğer kullanmazsanız, kendi ilerlemenizi sahte bir şekilde hızlandırmanın en hızlı yoludur. Kimse ilerlemenizi değerlendirmiyor. Bu özgürlük hem amacınız hem de en zor kısmı. Bu listeyi size kimse göndermez. Kendi yolunuz boyunca kendiniz yazarsınız.

Çoğu insan daha kolay yolu seçer. Lenfli olduğu için değil, çünkü daha kolay. Daha hızlı kazanır, daha net geri bildirim alır, sonunda ebeveynlerine açıklayabileceğiniz bir işe sahip olursunuz. Ben akıllı sözleşme güvenliğini seçtim. Yol çok zor. Geri bildirim döngüsü aylar sürüyor. Bazı günler ilerlediğimden emin olmak bile zor oluyor. Ama tavan farklı, ve çoğu gece hissettiğim şüphe, ona ulaşmak için ödenen fiyattır. Eğer sen de zor bir yoldaysan, yolun kolaylaşmasını istemiyorsun. Sadece devam etmen yeterli.

Birkaç hafta önce üniversitede son yıl projemi savundum: üniversite seçimleri için bir blok zinciri oylama sistemi. Keccak256 kimlik doğrulama. Altı aylık çalışma. Bu hafta BonkDAO yazısını okudum. $20 milyon, tek bir hatalı kod satırı olmadan boşaltıldı. Saldırgan, öneriyi geçmek için yeterli token satın aldı. Sisteminiz de aynı şekilde çökecekti. Kod temizdi. Kimlik karma işlemi çalışıyor idi. Her yerde checks-effects-interactions prensibi uygulanmıştı. Ancak ekonomik katmanı modellememiştim. Oylama gücünü elde etmenin maliyeti, oylamanın kontrol ettiği değerin altına düştüğünde ne olacağını asla sormadım. Savunma jürim de bunu fark edemedi, çünkü üniversitelerde bu noktaya kimse bakmaz. Kodunuzun doğru olması ile sisteminizin güvenli olması arasındaki boşluk, gerçek çalışmanın yaşandığı yerdir. Bu alanı önümüzdeki birkaç yıl boyunca odaklanmak istediğim alan olarak seçiyorum.

Son projelerimi yazdım ve projemi savundum. Üniversite resmen bitti. Akıllı sözleşme güvenliğine 7 ay boyunca girdim. Sıfır bulgu. Hayatımda ilk kez tüm günüm benim. Bu yüzden önümüzdeki 3 ayı sadece bir hedeve adayacağım: 1 Ekim'e kadar ilk geçerli bulgumu elde etmek. Günlük rutin: → Her gün Ethernaut meydan okuması → @CyfrinUpdraft İleri Düzey Foundry Kursunu tamamlamak → Gerçek hataların nasıl bulunduğunu öğrenmek için Solodit raporlarını okumak → Tüm bunları GitHub'da belgelemek İlk durak: İlk Uçuşlar. Dürüst olmak gerekirse, gerçek kod tabanlarında gerçek açıklar aramak beni korkutuyor. Eğitimler size hazır hissi veriyor. Muhtemelen henüz hazır değilim. Ama tüm süreci burada belgeleyeceğim. Kazançları, reddedilmesi, hepsini. Eğer bu alanda hâlâ başlangıç aşamasındaysanız, takip edin. 90 gün boyunca tamamen odaklanmış olmanın nasıl göründüğünü birlikte görelim.

Akıllı sözleşme güvenliğinde 7 ay. Henüz hiçbir bulgu yok. Ancak AI hakkında öğrendiğim bir şey, öğrenme şeklimi değiştirdi. Günlerce Foundry testlerinde başarısız olup takıldım. Claude'dan testleri düzeltmesini istiyordum. Düzeltiyordu. Sonra başka bir şey bozuluyordu. Döngü sona ermeyen bir döngüydü. Sonra düzeltmeleri değil, açıklamaları sormaya başladım. Aniden kodu sadece tamir etmekten ziyade gerçekten anlıyordum. Küçük bir değişim. Tamamen farklı bir sonuç. Eğer bir junior olarak AI'yi zor kısımları atlamak için kullanıyorsanız, sizi iyi yapan tek kısmı atlıyorsunuz.

Çoğu insan, hızlı para kazanmak için Web3'e girdi. Aslında bunu yaratan teknik çalışmayı yapmaya istekli olan çok az kişi vardı. Herkes airdrop istiyordu. Neredeyse kimse, onu dağıtan sözleşmeyi anlamak istemiyordu. Herkes getiri istiyordu. Neredeyse kimse, onu üreten protokolü denetlemek istemiyordu. Fırsat asla hiperbolik hype'de değildi. Her zaman ödül isteyen insan sayısı ile altında çalışmayı kabul eden az sayıdaki kişi arasındaki boşluktaydi. Bu boşluk hâlâ tamamen açık.

Hackerler, zafiyetleri bulmak için zaten Yapay Zekâ kullanıyor. Protokolleri koruyanlar, bunu kullanmanın kabul edilebilir olup olmadığını hâlâ tartışıyor. Bunu bir saniye düşünün. Beyaz şapkalılar, güvenlikte Yapay Zekâ üzerine etik tartışmalar yürütürken, siyah şapkalılar bu soruyu zaten cevapladı ve ilerledi. Kod tabanlarını daha hızlı tarıyor, istismar hipotezleri üretiyor ve uzun inceleme oturumlarından sonra insan denetçilerin kaçırdığı kenar durumları buluyorlar. Saldırı tarafı, savunma tarafından her zaman daha hızlı ilerledi. Yapay Zekâ bu boşluğu daha da genişletti. Bu, güvenlik geleceğine dair bir tahmin değil; şu anda gerçekleşen bir durum. Geçen yıl 2,1 milyar dolarlık kayıplar, saldırganların daha akıllı olmasından değil, daha az tereddüt etmesinden kaynaklandı. Hedeflerinden önce Yapay Zekâ’yı bir silah olarak kullanmayı öğrenen denetçiler ve araştırmacılar, 3 yıl içinde Web3 güvenliğinin nasıl görüneceğini belirleyecekler. İzin bekleyenler ise zaten geride kaldı.

Dördüncü ayda akıllı sözleşme güvenliğini bırakmak üzereydim, çünkü başladığım kişi benimden önce ilk bulgusunu yaptı. Aynı başlangıç tarihi. Aynı kaynaklar. Farklı sonuç. Ve bunu kişisel bir şey olarak aldım. Göremediğim şey, onun günde 6 saat avcılık yaptığını, ben ise hâlâ eğitim modundaykenydi. Dışarıdan bakıldığında zaman çizelgesi aynı görünüyordu. Girdiler tamamen farklıydı. Bu farkın farkına varmak, başkalarının ne yaptığını izlemekten ziyade henüz görünmeyen saatleri harcamaya geçiş yapmaya hâlâ aktif olarak çalıştığım bir şey. Önünüzdekilerin gerisinde değilsiniz. Sadece onların oraya ulaşmak için aslında ne yaptıklarını görmüyorsunuz.

Çoğu insan, akıllı sözleşme güvenliğine girmenin bir bilgisayar bilimi diploması, yıllarca deneyim veya özel bir izin gerektirdiğini düşünür. Ancak gerektirmiyor. Gerçekten gereken, anlamsız görünen kodla beraber oturmak, kamuoyunda öğrenirken aptalca görünmek ve yine bir sonraki gün gelmeye kararlı olmaktır. Engel teknik değil, psikolojik. Ve bu aslında iyi bir haber, çünkü psikolojik engeller, içinden geçmeye karar verebileceğiniz engellerdir.

Web2'de biri sizi ele geçirdiğinde, hesapları dondurursunuz, bankayı ararsınız, güvenlik güçlerini dahil edersiniz. Web3'te işlem nihai hale gelir. Dondurma, geri alma veya müşteri desteği numarası yoktur. Kod yasadır, bu güçlü görünür ama kodda bir hata varsa, kod sadece geri alınamayan pahalı bir hatadır. Bu yüzden Web3'te güvenlik isteğe bağlı değildir. Tamamen temeldir.