Команда QuillAudits прибула до Мумбаї на @EFDevcon Наші аудитори, дослідники, розробники, команда маркетингу та лідерство перебувають у місті, проводячи заходи, виступаючи та спілкуючись із спільнотою Web3. Від токенізації до безпеки блокчейну — ми з нетерпінням очікуємо участі у дискусіях, що формують майбутнє Web3. Якщо ви хочете зустрітися з нами на Devcon: Слідкуйте за маршрутом нашої команди, переглядайте, хто відвідує які заходи, і зареєструйтеся на UsePulse, щоб знайти нас протягом усього Devcon! 👇 Перегляньте наш розклад заходів: https://t.co/15F1ESWie1

Ну, від заголовка на секунду злякався. Ми вже 8+ років продаємо аудити 😅 Але коли я прочитав цілий текст, справжній зміст вдарив сильніше. Клієнти не ненавидять аудити — вони ненавидять платити за список проблем, перш ніж знатимуть, скільки коштуватиме їх виправлення. І чесно, у веб3 безпеці саме така ж проблема. Засновники відкладають аудити до останнього тижня перед мейннетом, бо для них це просто PDF і рахунок. Потім приходить звіт, розробники виправляють знайдені проблеми, а команда майже нічого не вчиться. Ми це бачили на прикладі QuillShield. Він самостійно виявив інший шлях атаки на баг, який 12-агентний аудит позначив як спростований після того, як захист заблокував протестований шлях. QuillShield написав експлойт-тест, який пройшов, а людина-аудитор підтвердила його на форку мейннету. Чотири рецензенти згодилися, що баг дійсно існує. Що справді працює — як у AI-агентствах, так і в безпеці: Вчіть команду, поки глибоко аналізуєте їхню роботу. Найкращі висновки виникають, коли люди показують вам їхні реальні робочі процеси. Залишайте їх кращими, ніж ви їх знайшли — не лише звітом. «Аудит все ще відбувається. Просто не обов’язково просити платити за нього заздалегідь». Будуєте щось і приїжджаєте на Devcon? Давайте обговоримо, як ваша команда залишається безпечною після аудиту. Мої листи відкриті 🤝 Цікаво прочитати @lukepierceops 👇

Щиро кажучи, це виглядає більше як маркетингова стратегія, спрямована на те, щоб переконати людей продати свій bitcoin, ніж об’єктивний аналіз того, куди рухається ринок. Ми рухаємося до світу, де цифрові рішення — пріоритетні, подивіться на @PhonePe та інші цифрові платіжні додатки. Люди відмовляються від готівки, бо технології роблять транзакції швидшими, простішими та зручнішими. Те саме зміщення відбувається з bitcoin та цифровими активами: швидші глобальні транзакції, платежі без кордонів, фінансова доступність та можливість переказу вартості без повної залежності від традиційних посередників. У будь-якої технології є обмеження та ризики, але це не означає, що варто відкидати її потенціал. Технології еволюціонують, щоб вирішувати проблеми. Справжнє питання не в тому, чи має bitcoin недоліки, а чи може його довгострокова корисність та прийняття продовжувати зростати. Оцінювати нову технологію лише за її поточним ринковим виконанням може означати пропустити більшу картину. Агенти ШІ потребуватимуть спосіб оплачувати послуги, отримувати доступ до даних та автономно виконувати завдання. Протоколи, такі як @base x402, дозволяють інтернет-незалежні платежі між агентами ШІ та сервісами. З тим як агенти ШІ стають більш здатними і наближаються до суперінтелекту, потреба у програмованих платежах, машинно-машинних транзакціях та дозволеній фінансовій інфраструктурі може значно зростати. Я не вважаю, що bitcoin, блокчейн або криптовалюти просто зникнуть через те, що ШІ стає більш цінним. Навпаки, зростання агентів ШІ може створити нові сценарії використання блокчейну та цифрових активів. Справжнє питання не в тому, чи переможе ШІ чи криптовалюта. А в тому, як вони обидві будуть розвиватися разом, щоб побудувати наступне покоління інтернету.

Гордимося командою за випуск цього інструменту. Чому розробникам варто його використовувати: 1. Рівень виявлення – 84 % на EVM‑bench. 2. Підтверджені PoC-експлойти – Кожен виявлений дефект у повному аудиті супроводжується працюючим доказом концепції, тому ви бачите точку вразливості ще до того, як виправите її. 3. Покриття CI/CD – Після початкового аудиту кожен PR, merge request та коміт автоматично сканується через GitHub App, Actions або вебхук GitLab, забезпечуючи неперервне покриття між аудитами. 4. Пам’ять проекту – Інструмент зберігає окрему пам’ять для кожного проекту (документи, контекст, попередні виявлення), що дозволяє кожному скануванню краще розуміти вашу кодову базу, ніж попереднє. 5. Нативний інструмент для розробників – Доступний через REST API, qs CLI, MCP для Cursor і Claude, а також для проектів Foundry. Імпорт з GitHub, GitLab, zip-файлів або .sol-файлів.

Усі знають, що сталося з Ledger недавно. Але який справжній висновок? Резелер мав пристрої, фізично вбудовані в них. Вбудований пристрій спостерігав за екраном під час налаштування, крав 24-слівний сід, і відправляв його через LTE. Secure Element ніколи не торкався. Перевірка справжності все ще проходила. Це не лише проблема Ledger. Це стосується будь-якого фізичного продукту, який ви купуєте: інший апаратний гаманець, б/у телефон, «новий» пристрій від резелера — все, що знаходиться між заводом і вашими руками. Ваша безпека настільки ж міцна, наскільки безпечний шлях, який пройшов цей продукт до вас. Прості принципи OPSEC, які справді мають значення: Купуйте безпосередньо на веб-сайті виробника, коли це можливо. Це виключає більшість ризиків ланцюга поставок апаратного забезпечення. • Для більших сум — лише мультипідпис. Один скомпрометований пристрій не зможе нічого переслати самостійно. • Проти програмних експлойтів: скиньте / переустановіть пристрій (або середовище ключа) два або три рази, перш ніж вважати його чистим. • Ніколи не довіряйте сіду (або приватним даним) з пристрою, якщо є хоча б найменші сумніви щодо його походження. • Спочатку протестуйте з невеликими сумами. Передбачайте найгірший сценарій під час першого налаштування. Апаратне забезпечення все ще працює. Завжди будьте параноїчно уважні щодо безпеки.

Якщо повідомлена угоди з придбанням @OpenAI та @trailofbits відбудеться, я вважаю, що це може стати важливим сигналом щодо майбутнього кібербезпеки. Trail of Bits здобув свою репутацію завдяки серйозним дослідженням у сфері безпеки, відкритому програмному забезпеченню та глибокій технічній експертизі. Його співпраця з OpenAI над проектом «Patch the Planet» також демонструє, як штучний інтелект і експертиза у сфері безпеки можуть об’єднатися для масштабного виявлення та виправлення вразливостей. Але навіщо придбати компанію з кібербезпеки? Лабораторіям передових моделей AI потрібно більше, ніж кращі моделі. Їм потрібна реальна експертиза у сфері безпеки, набори даних про вразливості та фахівці, які розуміють, як програмне забезпечення ламається. Команда, подібна до Trail of Bits, могла б допомогти покращити те, як моделі виявляють, аналізують та виправляють вразливості. Для Trail of Bits переваги також дуже цікаві: більше капіталу, більші ресурси та потенційно глибший доступ до передових моделей. Уявіть поєднання їхньої експертизи у сфері безпеки з все більш потужними системами штучного інтелекту. Більший питання — чи стане це трендом? Я не здивуюсь, якщо інші лабораторії AI, включаючи китайські передові AI-компанії, прагнутимуть до подібних партнерств або придбань. До цього зміщення можуть приєднатися й компанії з Web3-безпеки. Уявіть, що лабораторія передової AI-моделі придбуває компанію на кшталт @CertiK або створює глибоку стратегічну співпрацю з нею. Ми вже бачили консолідацію у сфері Web3-безпеки, наприклад, придбання @code4rena компанією @zellic_io. Штучний інтелект може ще більше прискорити цей процес. Але є одна ловушка. Оскільки AI робить виявлення вразливостей дешевшим і масштабованішим, цінність роботи у сфері безпеки може зміститися. Чисто ручне аудитування може стикатися з зростаючим тиском, тоді як дослідники, які вміють використовувати AI для виявлення глибших, складніших помилок, стануть ще ціннішими. Моя думка? Навчиться працювати з LLM. Створюйте інструменти. Знаходьте баги. Публікуйте дослідження. Будуйте репутацію. Майбутнє може належати не аудиторам, які конкурують з AI, а тим, хто вміє використовувати його краще за всіх інших. Кібербезпека входить у нову фазу, і Web3-безпека не залишиться поза цим.

Жаль чути це. Одна з головних висновків: зберігання великої суми коштів у одному гаманці створює критичну точку відмови. Декілька базових практик, які можуть значно зменшити ризик: → Розподіляйте великі суми між кількома гаманцями, а не зберігайте все в одному місці. → Використовуйте апаратні/холодні гаманці для значних заощаджень. Ізоляція ключів від онлайн-систем робить їх набагато складнішими для вдалого віддаленого компрометування. → Використовуйте мультипідписи для великих сум. Вимога до кількох незалежних підписів означає, що компрометація одного підписувача/ключа недостатня для пересилання коштів. → Важливий сильний @opsek_io. Розумійте, що саме ви підписуєте, де зберігаються ваші ключі, хто має до них доступ і яку інформацію ви публікуєте. Жодна з цих практик не є панацеєю, але разом вони можуть значно зменшити радіус ушкоджень при компрометації. Не соромтеся надсилати мені особисте повідомлення з будь-якими питаннями або проханнями про допомогу. З радістю допоможу, де зможу.

Вітаємо всі команди, відібрані для Base Batches 004 👏 Як компанія з безпеки, ми віримо, що безпека має бути закладена з першого дня, а не додаватися після першого інциденту. Ось кілька речей, які кожна команда повинна враховувати під час розробки: 1. OpSec + безпека інфраструктури Безпека починається з вашої команди. Навчіть своїх співробітників і ключову команду найкращим практикам безпеки, особливо порадам від @opsek_io, свідомості щодо фішингу, безпеці акаунтів, управлінню ключами та соціальній інженерії. Завжди відвідуйте важливі зустрічі та отримуйте доступ до критичних систем лише з виділених робочих ноутбуків/пристроїв, а не з особистих пристроїв. Ваша команда часто є першою лінією захисту. Один скомпрометований пристрій, акаунт чи співробітник може стати точкою входу для значно більшої атаки. 2. Мультіпідпис + безпечні пристрої Ви отримуєте $100K фінансування — витратьте частину на безпеку. Купіть апаратні гаманці, такі як @Ledger, використовуйте мультіпідписи для критичних коштів та використовуйте окремі пристрої, присвячені лише роботі/криптоопераціям. Не використовуйте один і той самий пристрій для всього. Розділення робочих, особистих дій та критичних операцій підпису зменшує ймовірність того, що шкідливе ПЗ або скомпрометований пристрій отримає доступ до ваших найбільш чутливих систем. Один скомпрометований ключ ніколи не повинен бути достатнім для нанесення серйозної шкоди. Для безпечного сканування мультіпідпису ви можете інтегрувати наш продукт: https://t.co/85ArM12r7p 3. Безпека фронтенду Ваші контракти можуть бути ідеально безпечними, але користувачі все ще можуть бути ограблені через скомпрометований фронтенд. Фішинг, компрометація DNS/домену та шкідливі зміни інтерфейсу — поширені шляхи атак. Захистьте інтерфейс, з яким взаємодіють ваші користувачі. 4. Моніторинг у блокчейні + реагування на інциденти Безпека не закінчується після розгортання. 24/7 моніторинг може допомогти вчасно виявити незвичайні транзакції, зміни адмін-прав, підозрілі переміщення коштів та інші аномалії. І коли щось все ж трапиться — швидкість має значення. Майте чіткий план реагування на інциденти, визначену роль кожного та здатність швидко локалізувати атаку. Безпека має свою вартість. Але вартість неозброєності того, що ви створюєте, може бути набагато вищою. Знову вітаємо всі команди — будуйте швидко, але будуйте безпечно. 🔐 Якщо хочете обговорити щось щодо безпеки — пишите мені в личку! CC: @SaturdayBank @mercatus_ai @contavcbr @Tribeca_xyz @Flovia402 @bitrepo_xyz @get_grow_app @GreekDotFi @LEDiG_Tech @RennFinance

Прочитайте «CyberChainBench: Чи можуть агенти ШІ захистити смартконтракти від реальних он-чейн уразливостей?» Дуже цікаве дослідження про те, де зараз знаходяться агенти ШІ щодо безпеки смартконтрактів. У статті оцінювалиться агенти ШІ на основі 541 реального експлойту на 9 EVM-ланцюгах — не синтетичних уразливостей чи статичних фрагментів коду. Агентам потрібно було виконати три завдання: • Виявити уразливість • Відтворити експлойт • Виправити уразливість Деякі мої висновки 👇

Завершив сьогоднішній панель на @CoinFerenceX На тему: Забезпечення інституційного капіталу: кастодія, експлуатації та новий ландшафт загроз З участь: Джейсон Цзян (CBO, @CertiK) Олекс Горлан (CTO, @d0rsky @HackenProof) Джок Хаслам (@jockhaslam @Hashlock_) Під модерацією Адама Вассермана Ми глибоко розглянули ризики кастодії, реальні випадки експлуатації, вразливості ланцюжка постачальників та еволюційну роль ШІ у забезпеченні інституційного капіталу. Гордість представляти @QuillAudits_AI як лідера в безпеці RWA та токенізації, поки ми продовжуємо будувати повноцінну безпеку для он-чейн світу.