шість речей про вивчення безпеки смартконтрактів, про які ніякий курс, тред чи дорожня карта вас не підготуватиме: 1. розрив між «я можу пояснити цю помилку» і «я можу виявити цю помилку у незнайомому коді» — це справжня робота. Усі вчать першого. Майже ніхто не вчить другого. 2. кожен звіт про аудит, який ви читаєте, вчить вас не менше, ніж будь-який курс, але ніхто не каже вам читати їх. 3. дефі-примітиви, Aave, Uniswap, кредитування, AMM — це не додатково. Ви не можете аудитувати те, чого не розумієте. 4. навичка написання звітів — це пів винагороди. Знаходження помилки — інша пів. 5. ШІ — найкращий партнер для навчання у світі, якщо ви користуєтеся ним правильно. Це найшвидший спосіб симулювати свій прогрес, якщо ні. Ніхто не оцінює ваш прогрес. Ця свобода — і є суть, і найскладніша частина. Ніхто не надсилає вам цей список. Ви пишете його самі по мірі руху.

Більшість людей вибирають легший шлях. Не тому що вони ліниві, а тому що він легший. Швидше результат, чіткіша зворотній зв’язок, робота, яку ти зможеш пояснити своїм батькам. Я вибрав безпеку смартконтрактів. Підйом жорсткий. Зворотній зв’язок — місяці. Деякі дні важко зрозуміти, чи взагалі просунувся. Але потолок інший, і та невпевненість, яку я відчуваю більшість ночей, — це просто ціна за мету. Якщо ти теж на складному шляху, тобі не потрібно, щоб він став легшим. Тобі потрібно просто продовжувати приходити.

Кілька тижнів тому я захистив свій фінальний проект університету — систему блокчейн-голосування для студентських виборів. Верифікація особи за допомогою Keccak256. Шість місяців роботи. Потім цього тижня я прочитав опис BonkDAO: $20 млн було виведено без жодного уразливого рядка коду. Зловмисник просто купив достатньо токенів, щоб пройти пропозицію. Моя система так само була б зруйнована. Код був чистим. Хешування ідентичності працювало. Всюди дотримувався принцип checks-effects-interactions. Але я ніколи не моделював економічний шар. Ніколи не запитував, що станеться, коли вартість отримання голосувальної влади впаде нижче за вартість того, що керується голосуванням. Моя комісія на захисті теж цього не помітила — бо саме цього ніхто не шукає в університеті. Розрив між тим, що ваш код правильний, і тим, що система безпечна — саме там живе справжня робота. Саме це я вирішив вивчати наступні кілька років.

Тільки що здав останній папки та захистив свій проект. Університет офіційно закінчений. 7 місяців у сфері безпеки смартконтрактів. Нуль виявлень. І вперше в житті я повністю володію своїм днем. Тож я виділяю наступні 3 місяці на одну задачу: моя перша дійсна знахідка до 1 жовтня. Щоденний розпорядок: → Ethernaut challenge щодня → завершення курсу @CyfrinUpdraft Advanced Foundry → читання звітів Solodit, щоб зрозуміти, як знаходять реальні баги → все задокументовано на GitHub Перша зупинка: First Flights. Буду чесним — полювання на реальні вразливості в реальних кодбазах мене лякає. Тутуторіали роблять вас впевненими, але я знаю, що, ймовірно, ще не готовий. Але я документую весь цей процес тут — перемоги, відмови, все. Якщо й ви на початку цього напрямку — слідкуйте за мною. Давайте подивимося, як виглядає 90 днів повної залученості.

7 місяців у сфері безпеки смартконтрактів. Ще жодних виявлень. Але я зрозумів щось про ШІ, що змінило мій підхід до навчання. Дніми застрягав на невдалих тестах Foundry, постійно просив Claude виправити їх. Він це робив — а потім щось інше ламалося. Цикл ніколи не закінчувався. Потім я перестав просити про виправлення і почав запитувати пояснення. І раптом я справді почав розуміти код, а не просто патчити його. Мала зміна — зовсім інший результат. Якщо ти джун, який використовує ШІ, щоб уникнути складних частин, ти уникнув тільки тієї частини, що справді робить тебе добре.

Більшість людей увійшли у web3, шукаючи швидких грошей. Дуже мало хто був готовий виконувати технічну роботу, яка справді створює ці гроші. Всі хотіли ейрдроп. Майже ніхто не хотів розуміти контракт, який його розподіляє. Всі хотіли дохідність. Майже ніхто не хотів аудитувати протокол, який її генерує. Можливість завжди була не в хайпі, а саме в розриві між кількістю людей, які хотіли винагороду, і тими, хто був готовий виконувати підlying роботу. Цей розрив досі залишається відкритим.

Хакери вже використовують ШІ для пошуку вразливостей. Люди, що захищають протоколи, все ще обговорюють, чи дозволено його використовувати. Дайте цьому трішки подумати. Поки білі шапки проводять етичні дискусії про ШІ в безпеці, чорні шапки вже дали відповідь на це питання й перейшли до дій. Вони використовують його для швидшого сканування кодових баз, генерації гіпотез про експлуатацію та виявлення крайніх випадків, яких люди не помічають після довгих сесій аудиту. Сторона атак завжди рухалася швидше, ніж сторона захисту. ШІ лише збільшив цю різницю. Це не прогноз щодо майбутнього безпеки — це те, що вже відбувається. $2,1 млрд, втрачені через експлуатації минулого року, зникли не тому, що нападники були розумнішими. Вони зникли тому, що нападники були менш схильні до коливань. Аудитори та дослідники, які з’ясують, як використовувати ШІ як зброю раніше, ніж їхні цілі, визначать, яким буде безпека Web3 через три роки. Ті, хто чекає дозволу, вже відстають.

Майже кинув безпеку смартконтрактів на четвертому місяці, бо хтось, з ким я почав одночасно, знайшов свою першу вразливість раніше за мене. Одна й та ж дата початку. Однакові ресурси. Різний результат. І я сприйняв це як особисту поразку. Того, чого я не бачив, — вони шукали вразливості по 6 годин на день, тоді я ще був у режимі навчання. Зовні графік виглядав однаково, але вхідні дані були зовсім іншими. Ця усвідомленість — те, над чим я досі активно працюю: перейти від спостереження за тим, що роблять інші, до простої роботи, яка ще не видна. Ти не відстаєш від тих, хто попереду. Ти просто не бачиш, що вони насправді роблять, щоб опинитися там.

Більшість людей вважають, що для входу в сферу безпеки смартконтрактів потрібно мати диплом з комп’ютерних наук, роки досвіду чи якесь спеціальне дозволення. Це не так. Справді потрібна лише готовність сидіти з кодом, який не має сенсу, виглядати дурно, вчачись публічно, і знову приходити наступного дня. Перешкода — не технічна. Вона психологічна. А це, насправді, хороша новина, бо психологічні перешкоди — це ті, які ти можеш вибрати подолати.

У веб2, якщо хтось вас взламає, ви блокуєте акаунти, дзвоните в банк, залучаєте правоохоронні органи. У веб3 транзакція є остаточною. Немає блокування, немає відміни, немає номеру служби підтримки. Код — це закон, що звучить потужно, доки код не має бага. Тоді код — це просто дорога помилка, яку ніхто не може скасувати. Саме тому безпека у веб3 — це не додаткова опція. Це вся основа.