Ну, від заголовка на секунду злякався. Ми вже 8+ років продаємо аудити 😅 Але коли я прочитав цілий текст, справжній зміст вдарив сильніше. Клієнти не ненавидять аудити — вони ненавидять платити за список проблем, перш ніж знатимуть, скільки коштуватиме їх виправлення. І чесно, у веб3 безпеці саме така ж проблема. Засновники відкладають аудити до останнього тижня перед мейннетом, бо для них це просто PDF і рахунок. Потім приходить звіт, розробники виправляють знайдені проблеми, а команда майже нічого не вчиться. Ми це бачили на прикладі QuillShield. Він самостійно виявив інший шлях атаки на баг, який 12-агентний аудит позначив як спростований після того, як захист заблокував протестований шлях. QuillShield написав експлойт-тест, який пройшов, а людина-аудитор підтвердила його на форку мейннету. Чотири рецензенти згодилися, що баг дійсно існує. Що справді працює — як у AI-агентствах, так і в безпеці: Вчіть команду, поки глибоко аналізуєте їхню роботу. Найкращі висновки виникають, коли люди показують вам їхні реальні робочі процеси. Залишайте їх кращими, ніж ви їх знайшли — не лише звітом. «Аудит все ще відбувається. Просто не обов’язково просити платити за нього заздалегідь». Будуєте щось і приїжджаєте на Devcon? Давайте обговоримо, як ваша команда залишається безпечною після аудиту. Мої листи відкриті 🤝 Цікаво прочитати @lukepierceops 👇