سیکھنے کے بارے میں شمار کردہ چیزیں جو کوئی کورس، تھریڈ یا روڈمیپ آپ کو تیار نہیں کرتا: 1. "میں اس خرابی کی وضاحت کر سکتا ہوں" اور "میں غیر مألوف کوڈ میں اس خرابی کو پکڑ سکتا ہوں" کے درمیان فرق اصل کام ہے۔ سب کچھ پہلی چیز سکھاتے ہیں۔ تقریباً کوئی دوسری چیز نہیں سکھاتا۔ 2. آپ جو بھی آڈٹ رپورٹ پڑھتے ہیں، وہ آپ کو کسی بھی کورس کے برابر سکھا رہی ہے، لیکن کوئی آپ کو ان پڑھنے کے لیے نہیں کہتا۔ 3. دیفی پرimitives، Aave، Uniswap، قرضہ دینا، AMMs، ضروری نہیں ہیں۔ آپ وہ آڈٹ نہیں کر سکتے جسے آپ نہیں سمجھتے۔ 4. لکھنے کا مہارت پے آؤٹ کا آدھا حصہ ہے۔ خرابی دریافت کرنا دوسرا آدھا حصہ ہے۔ 5. اگر آپ AI کو صحیح طریقے سے استعمال کرتے ہیں تو یہ دنیا کا بہترین مطالعہ ساتھی ہے۔ اگر آپ نہیں کرتے تو یہ اپنی پیش رفت کو جعلی بنانے کا سب سے تیز طریقہ ہے۔ کوئی آپ کی پیش رفت کا جائزہ نہیں لے رہا۔ یہ آزادی اس کا مقصد اور سب سے مشکل حصہ دونوں ہے۔ کوئی آپ کو یہ فہرست نہیں بھیجتا۔ آپ اسے خود لکھتے ہیں جب آپ آگے بڑھتے ہیں۔

زیادہ تر لوگ آسان راستہ اپناتے ہیں۔ یہ اس لیے نہیں کہ وہ آلوار ہیں، بلکہ اس لیے کہ یہ آسان ہے۔ جلدی جیتا ہے، واضح ردعمل، اور ایک نوکری جسے آپ اپنے والدین کو وضاحت کر سکتے ہیں۔ میں نے اسمارٹ کنٹریکٹ سیکورٹی کا راستہ اپنایا۔ سیڑھیاں بہت کٹھن ہیں۔ ردعمل کا دورہ ماہوں کا ہوتا ہے۔ کچھ دن ایسا لگتا ہے جیسے میں نے بالکل بھی آگے نہیں بڑھا۔ لیکن سقف الگ ہے، اور جو شک میں زیادہ تر راتوں میں محسوس کرتا ہوں، وہ اس کے لیے پہنچنے کی قیمت ہے۔ اگر آپ بھی ایک کٹھن راستے پر ہیں، تو آپ کو اسے آسان بنانے کی ضرورت نہیں۔ آپ کو صرف اپنے آپ کو مسلسل پیش کرنے کی ضرورت ہے۔

کچھ ہفتے پہلے میں نے یونیورسٹی میں اپنا فائنل سال کا پروجیکٹ دفاع کیا، جو یونیورسٹی کے انتخابات کے لیے ایک بلاک چین ووٹنگ سسٹم تھا۔ کیکیک256 شناخت کی تصدیق۔ چھ ماہ کا کام۔ پھر اس ہفتے میں نے بانک ڈی او کا ورائٹ اپ پڑھا۔ $20 ملین بغیر کسی زائدوں لائن کوڈ کے خالی ہو گئے۔ حملہ آور نے صرف ووٹنگ پروپوزل کو منظور کرنے کے لیے کافی ٹوکن خرید لیے۔ میرا سسٹم بھی اسی طرح ٹوٹ جاتا۔ کوڈ صاف تھا۔ شناخت ہیشنگ کام کر رہا تھا۔ ہر جگہ چیکس-ایفیکٹس-انٹرایکشنز۔ لیکن میں نے اقتصادی لیئر کو کبھی ماڈل نہیں کیا۔ میں نے کبھی یہ نہیں پوچھا کہ جب ووٹنگ پاور حاصل کرنے کا خرچ، ووٹ کے ذریعے کنٹرول ہونے والی چیز کی قیمت سے کم ہو جائے تو کیا ہوتا ہے؟ میرے دفاع کے پینل نے بھی اسے نہیں پکڑا، کیونکہ یونیورسٹی میں کوئی اس طرف نہیں دیکھتا۔ آپ کے کوڈ کے صحیح ہونے اور سسٹم کے محفوظ ہونے کے درمیان فرق وہ جگہ ہے جہاں اصل کام ہوتا ہے۔ میں اگلے کچھ سالوں تک اسی پر توجہ مرکوز رکھنے کا فیصلہ کر رہا ہوں۔

میں نے اپنے آخری پیپرز لکھ دیے اور اپنا پروجیکٹ دفاع کر لیا۔ یونیورسٹی مکمل طور پر ختم ہو گئی۔ سمارٹ کنٹریکٹ سیکورٹی میں 7 ماہ گزر چکے ہیں۔ صفر تلاش۔ اور میری زندگی میں پہلی بار میں نے اپنا پورا دن اپنے ہاتھ میں لے لیا ہے۔ اس لیے میں اگلے 3 ماہ کو ایک ہدف دے رہا ہوں: 1 اکتوبر تک میری پہلی درست تلاش۔ روزانہ کا روتین: → روزانہ Ethernaut چیلنج → @CyfrinUpdraft Advanced Foundry کورس مکمل کرنا → حقیقی خامیوں کو کیسے تلاش کیا جاتا ہے، اس کے لیے Solodit رپورٹس پڑھنا → سب کچھ GitHub پر دستاویز کیا جائے گا پہلا مقام: First Flights۔ میں صاف کہتا ہوں، حقیقی کوڈ بیسز میں حقیقی خامیوں کو تلاش کرنا مجھے خوفزدہ کرتا ہے۔ ٹیوٹوریلز آپ کو تیار محسوس کرواتے ہیں۔ مجھے پتہ ہے شاید میں تیار نہیں ہوں۔ لیکن میں پورا عمل یہاں دستاویز کر رہا ہوں۔ فتح، مسترد کردہ نتائج، سب کچھ۔ اگر آپ بھی اس شعبے میں شروعات کر رہے ہیں، تو ساتھ بھر جائیں۔ دیکھتے ہیں کہ 90 دن کا مکمل انحصار کس طرح دکھائی دے رہا ہے۔

اسمارٹ کنٹریکٹ سیکورٹی میں 7 ماہ گزر چکے ہیں۔ اب تک کوئی مسائل نہیں ملے۔ لیکن میں نے AI کے بارے میں ایک بات سمجھ لی جس نے میرے سیکھنے کے انداز کو بدل دیا۔ میں دنوں تک فاؤنڈری ٹیسٹس میں ناکام رہا تھا۔ میں ہر بار کلاؤڈ سے انہیں ٹھیک کرنے کو کہتا رہا۔ وہ ٹھیک کر دیتا تھا، لیکن پھر کچھ اور ٹوٹ جاتا تھا۔ یہ لُوپ کبھی ختم نہیں ہوتا تھا۔ پھر میں نے ٹھیک کرنے کے لیے نہیں، بلکہ وضاحت کے لیے پوچھنا شروع کر دیا۔ اچانک میں کوڈ کو صرف جلا بخشتے نہیں، بلکہ اصل میں سمجھنے لگا۔ چھوٹا سا تبدیلی۔ مکمل طور پر مختلف نتیجہ۔ اگر آپ ایک جونئر ہیں جو AI کا استعمال کر کے مشکل حصوں سے گزرتے ہیں، تو آپ وہی حصہ چھوڑ رہے ہیں جو آپ کو اصل میں اچھا بناتا ہے۔

زیادہ تر لوگوں نے ویب3 میں جلدی پیسہ کمانے کے لیے داخلہ لیا۔ بہت کم لوگ اس ٹیکنیکل کام کو کرنے کو تیار تھے جو اسے حقیقت میں بناتا ہے۔ ہر کوئی ایئر ڈراپ چاہتا تھا۔ تقریباً کوئی نہیں تھا جو اس کے تقسیم کرنے والے معاہدے کو سمجھنا چاہتا تھا۔ ہر کوئی ییلڈ چاہتا تھا۔ تقریباً کوئی نہیں تھا جو اسے پیدا کرنے والے پروٹوکول کی جانچ چاہتا تھا۔ موقع کبھی ہائپ میں نہیں تھا۔ یہ ہمیشہ اس فرق میں تھا جو اس بات کے درمیان تھا کہ کتنے لوگ انعام چاہتے تھے اور کتنے لوگ اس کے نیچے کے کام کو کرنے کو تیار تھے۔ یہ فرق اب بھی کھلا ہوا ہے۔

ہیکرز پہلے ہی AI کا استعمال کر رہے ہیں کمزوریوں کو تلاش کرنے کے لیے۔ جبکہ پروٹوکولز کے دفاع کرنے والے اب بھی یہ بحث کر رہے ہیں کہ اس کا استعمال کرنا ٹھیک ہے یا نہیں۔ اس بات پر ایک لمحے کے لیے غور کریں۔ جب سفید ٹوپی والے AI کے استعمال پر سیکورٹی میں اخلاقی بحثوں میں مصروف ہیں، تو کالے ٹوپی والے پہلے ہی اس سوال کا جواب دے چکے ہیں اور آگے بڑھ چکے ہیں۔ وہ اس کا استعمال کوڈ بیسز کو تیزی سے اسکین کرنے، ایکسپلوٹ کی فرضیات تخلیق کرنے، اور لمبی جانچ کے بعد انسانی آڈٹرز کو چھوٹ جانے والے ایج کیسز تلاش کرنے کے لیے کر رہے ہیں۔ حملہ کرنے والی جانب ہمیشہ دفاعی جانب سے تیز رفتار رہی ہے۔ AI نے صرف اس فرق کو مزید وسعت دی ہے۔ یہ سیکورٹی کے مستقبل کے بارے میں ایک پیشن گوئی نہیں ہے۔ یہ وہی چیز ہے جو ابھی ہو رہی ہے۔ گزشتہ سال $2.1 بلین کا نقصان اس لیے نہیں ہوا کہ حملہ آوروں نے زیادہ ذکاوت دکھائی، بلکہ اس لیے ہوا کہ وہ زیادہ شک و شبہ نہیں رکھتے تھے۔ جو آڈٹرز اور ریسرچرز AI کو اپنے ٹارگٹ سے پہلے ایک ہتھियار کے طور پر استعمال کرنے کا طریقہ تلاش کر لیں گے، وہی ويب3 سیکورٹی کو تین سال میں شکل دینگے۔ جو لوگ اجازت کا انتظار کر رہے ہیں، وہ پہلے ہی پीچھے چھوٹ چکے ہیں۔

میں نے تقریباً چوتھے ماہ میں اسمارٹ کنٹریکٹ سیکیورٹی چھوڑ دی کیونکہ میں جس کے ساتھ شروع کیا تھا، اسے میرے سے پہلے اپنا پہلا فائنڈنگ مل گیا۔ ایک ہی شروعات کی تاریخ۔ ایک ہی وسائل۔ مختلف نتائج۔ اور میں نے اسے ذاتی طور پر لیا۔ جو میں نے نہیں دیکھا وہ یہ تھا کہ وہ روزانہ 6 گھنٹے ہنٹنگ کر رہا تھا جبکہ میں ابھی ٹیوٹوریل موڈ میں تھا۔ باہر سے ٹائم لائن ایک جیسی لگ رہی تھی۔ ان پٹس بالکل مختلف تھے۔ اس احساس کو میں اب بھی فعال طور پر تبدیل کرنے پر کام کر رہا ہوں — دوسروں کے کردار کو دیکھنے سے بجائے، صرف وہ گھنٹے ڈالنے پر جو ابھی تک نظر نہیں آ رہے۔ آپ ان لوگوں کے پیچھے نہیں جو آپ سے آگے ہیں۔ آپ بس اس بات کو نہیں دیکھ رہے کہ وہ وہاں پہنچنے کے لیے اصل میں کیا کر رہے ہیں۔

زیادہ تر لوگ سمجھتے ہیں کہ اسمارٹ کنٹریکٹ سیکیورٹی میں داخل ہونے کے لیے کمپیوٹر سائنس کی ڈگری، سالوں کا تجربہ، یا کوئی خاص اجازت درکار ہوتی ہے۔ یہ ایسا نہیں ہے۔ اس کے لیے درکار یہ ہے کہ آپ اس کوڈ کے ساتھ بیٹھیں جس کا کوئی مطلب نہ ہو، جب آپ عوامی طور پر سیکھ رہے ہوں تو بےوقوف لگیں، اور اگلے دن پھر سے واپس آ جائیں۔ رکاوٹ ٹیکنیکل نہیں ہے۔ یہ نفسیاتی ہے۔ اور یہ اصل میں اچھی خبر ہے، کیونکہ نفسیاتی رکاوٹیں وہی ہوتی ہیں جن سے آپ گزرنا چنا سکتے ہیں۔

ویب2 میں، اگر کوئی آپ کو ہیک کر دے، تو آپ اکاؤنٹس فریز کر دیتے ہیں، بینک کو فون کرتے ہیں، اور قانون نافذ کرنے والے اداروں کو ملوٹاتے ہیں۔ ویب3 میں، ٹرانزیکشن حتمی ہوتی ہے۔ کوئی فریز نہیں، کوئی ریورس نہیں، کوئی صارف سپورٹ نمبر نہیں۔ کوڈ قانون ہے، جو طاقتور لگتا ہے جب تک کہ کوڈ میں کوئی بگ نہ ہو۔ پھر کوڈ صرف ایک مہنگا غلطی بن جاتا ہے جسے کوئی بھی واپس نہیں کر سکتا۔ اسی لیے ویب3 میں سیکورٹی اختیاری نہیں ہے۔ یہ پورا بنیادی اصول ہے۔