Đội ngũ QuillAudits đã đến Mumbai để tham dự @EFDevcon Các chuyên gia kiểm toán, nhà nghiên cứu, lập trình viên, đội ngũ marketing và ban lãnh đạo của chúng tôi đang có mặt tại đây để tổ chức, phát biểu và kết nối với cộng đồng Web3. Từ token hóa đến bảo mật blockchain, chúng tôi rất hào hứng khi tham gia vào những cuộc trao đổi định hình tương lai của Web3. Nếu bạn muốn gặp chúng tôi tại Devcon, Theo dõi lịch trình đội ngũ của chúng tôi, xem ai sẽ tham dự sự kiện nào và đăng ký trên UsePulse để tìm thấy chúng tôi trong suốt suốt Devcon! 👇 Xem lịch sự kiện của chúng tôi: https://t.co/15F1ESWie1

Thật ra tiêu đề khiến tôi hoảng một chút. Chúng tôi đã bán dịch vụ kiểm toán hơn 8 năm rồi 😅 Sau đó tôi đọc toàn bộ nội dung, và điểm thực sự mới khiến tôi thấm hơn. Khách hàng không ghét kiểm toán, họ ghét phải trả tiền cho một danh sách vấn đề trước khi biết chi phí sửa chữa sẽ là bao nhiêu. Và thật lòng mà nói, bảo mật web3 cũng gặp đúng vấn đề tương tự. Các nhà sáng lập đẩy kiểm toán đến tuần cuối cùng trước khi lên mạng chính vì với họ, đó chỉ là một PDF và một hóa đơn. Sau đó, báo cáo được gửi đến, các lập trình viên sửa các lỗ hổng, nhưng cả đội ngũ gần như không học được điều gì. Chúng tôi đã chứng kiến điều này trực tiếp với QuillShield. QuillShield đã độc lập phát hiện một đường tấn công khác với một lỗi mà một cuộc kiểm toán với 12 chuyên gia đã ghi nhận là đã được loại bỏ sau khi một biện pháp bảo vệ chặn đường thử nghiệm. QuillShield đã viết một bài kiểm tra khai thác thành công, và một chuyên gia kiểm toán con người đã xác minh nó trên một bản phân nhánh mạng chính. Bốn người đánh giá đồng ý rằng lỗi này là có thật. Điều thực sự hiệu quả, trong cả các công ty AI lẫn bảo mật: Dạy đội ngũ trong khi bạn tìm hiểu công việc của họ Những phát hiện tốt nhất đến từ việc mọi người cho bạn thấy quy trình làm việc thực tế của họ Để lại cho họ tốt hơn so với lúc bạn bắt đầu, chứ không chỉ đơn thuần là một báo cáo “Cuộc kiểm toán vẫn diễn ra. Nhưng nó không nhất thiết phải là thứ bạn yêu cầu họ trả tiền ngay từ đầu.” Bạn đang xây dựng một sản phẩm và sẽ đến Devcon? Hãy cùng trao đổi về cách đội ngũ của bạn duy trì an toàn lâu dài sau khi kiểm toán. Tin nhắn trực tiếp của tôi luôn mở 🤝 Bài viết hay @lukepierceops 👇

Thành thật mà nói, điều này trông giống như một chiến lược tiếp thị nhằm thuyết phục mọi người bán bitcoin hơn là một quan điểm khách quan về xu hướng thị trường. Chúng ta đang tiến tới một thế giới ưu tiên kỹ thuật số, hãy nhìn vào @PhonePe và các ứng dụng thanh toán kỹ thuật số khác. Người dùng đang dần từ bỏ tiền mặt vì công nghệ giúp các giao dịch nhanh hơn, dễ dàng hơn và tiện lợi hơn. Sự chuyển dịch tương tự đang diễn ra với bitcoin và tài sản kỹ thuật số: giao dịch toàn cầu nhanh hơn, thanh toán không biên giới, khả năng tiếp cận tài chính và khả năng chuyển giá trị mà không hoàn toàn phụ thuộc vào các trung gian truyền thống. Mỗi công nghệ đều có giới hạn và rủi ro, nhưng điều đó không có nghĩa là chúng ta nên bác bỏ tiềm năng của nó. Công nghệ tiến hóa để giải quyết các vấn đề. Câu hỏi thực sự không phải là bitcoin có khuyết điểm hay không, mà là liệu tính hữu dụng và mức độ áp dụng dài hạn của nó có thể tiếp tục tăng trưởng hay không. Đánh giá một công nghệ mới nổi chỉ dựa trên hiệu suất thị trường hiện tại có thể khiến bạn bỏ lỡ bức tranh lớn hơn. Các tác nhân AI sẽ cần một cách để thanh toán cho các dịch vụ, truy cập dữ liệu và thực hiện các tác vụ một cách tự chủ. Các giao thức như @base x402 cho phép thanh toán bản địa internet giữa các tác nhân AI và dịch vụ. Khi các tác nhân AI trở nên mạnh mẽ hơn và tiến tới siêu trí tuệ, nhu cầu về thanh toán có thể lập trình, giao dịch máy-máy và hạ tầng tài chính không cần phép sẽ tăng đáng kể. Tôi không nghĩ rằng bitcoin, blockchain hay tiền điện tử sẽ biến mất đơn giản vì AI ngày càng có giá trị. Ngược lại, sự trỗi dậy của các tác nhân AI có thể tạo ra những trường hợp sử dụng mới cho blockchain và tài sản kỹ thuật số. Câu hỏi thực sự không phải là AI hay tiền điện tử sẽ chiến thắng. Mà là hai lĩnh vực này sẽ cùng phát triển như thế nào để xây dựng thế hệ internet tiếp theo.

Tự hào về đội ngũ đã hoàn thành sản phẩm. Lý do các nhà phát triển nên sử dụng nó: 1. Tỷ lệ phát hiện – 84% trên EVM-bench. 2. Các exploit PoC đã được xác minh – Mỗi phát hiện trong bản kiểm toán đầy đủ đều bao gồm một exploit proof-of-concept hoạt động, giúp bạn thấy được lỗ hổng trước khi sửa chữa. 3. Phủ sóng CI/CD – Sau bản kiểm toán ban đầu, mỗi PR, merge request và commit đều được quét tự động thông qua GitHub App, Actions hoặc webhook GitLab, đảm bảo sự liên tục trong việc kiểm tra giữa các lần kiểm toán. 4. Bộ nhớ dự án – Công cụ lưu trữ bộ nhớ riêng cho từng dự án (tài liệu, ngữ cảnh, các phát hiện trước đó), giúp mỗi lần quét hiểu rõ hơn về mã nguồn của bạn so với lần trước. 5. Tích hợp native với công cụ phát triển – Có sẵn qua REST API, qs CLI, MCP cho Cursor và Claude, cũng như các dự án Foundry. Nhập từ GitHub, GitLab, tệp zip hoặc tệp .sol.

Mọi người đều biết chuyện gì đã xảy ra với Ledger gần đây. Nhưng bài học thực sự là gì? Một nhà phân phối đã cài đặt thiết bị bị gắn thiết bị theo dõi bên trong. Thiết bị này quan sát màn hình trong quá trình thiết lập, đánh cắp chuỗi 24 từ và gửi đi qua LTE. Secure Element không hề bị xâm phạm. Kiểm tra xác thực vẫn qua được. Đây không chỉ là vấn đề của Ledger. Nó áp dụng cho bất kỳ sản phẩm vật lý nào bạn mua: ví phần cứng khác, điện thoại đã qua sử dụng, thiết bị “mới” từ nhà phân phối — bất cứ thứ gì nằm giữa nhà máy và tay bạn. Độ an toàn của bạn chỉ mạnh bằng con đường sản phẩm đó đã đi qua để đến với bạn. Các biện pháp OPSEC cơ bản thực sự quan trọng: - Mua trực tiếp từ trang web của nhà sản xuất whenever possible. Loại bỏ hầu hết rủi ro chuỗi cung ứng phần cứng. - Với số tiền lớn hơn → chỉ dùng multisig. Một thiết bị bị xâm phạm không thể di chuyển bất kỳ khoản nào một mình. - Chống lại các lỗ hổng phần mềm: đặt lại / cài đặt lại thiết bị (hoặc môi trường khóa) hai hoặc ba lần trước khi coi nó là sạch. - Không bao giờ tin tưởng seed (hoặc dữ liệu riêng tư) từ thiết bị có bất kỳ nghi ngờ nào về nguồn gốc của nó. - Thử nghiệm với số tiền nhỏ trước. Luôn giả định tình huống xấu nhất khi thiết lập lần đầu. Phần cứng vẫn hoạt động tốt. Luôn luôn nghi ngờ về bảo mật.

Nếu việc OpenAI và Trail of Bits mua lại lẫn nhau xảy ra, tôi cho rằng đây có thể là tín hiệu lớn cho tương lai của an ninh mạng. Trail of Bits đã xây dựng danh tiếng thông qua các nghiên cứu bảo mật nghiêm túc, các công cụ mã nguồn mở và chuyên môn kỹ thuật sâu rộng. Sự hợp tác của họ với OpenAI trong dự án “Patch the Planet” cũng cho thấy cách trí tuệ nhân tạo và chuyên môn bảo mật có thể kết hợp để phát hiện và khắc phục lỗ hổng quy mô lớn. Nhưng tại sao lại mua lại một công ty bảo mật? Các phòng thí nghiệm AI tiên tiến không chỉ cần các mô hình tốt hơn. Họ cần chuyên môn bảo mật thực tế, bộ dữ liệu lỗ hổng và những người hiểu cách phần mềm bị phá vỡ. Một đội ngũ như Trail of Bits có thể giúp cải thiện cách các mô hình phát hiện, suy luận và khắc phục lỗ hổng. Đối với Trail of Bits, lợi ích cũng không kém phần thú vị: nhiều vốn hơn, nguồn lực lớn hơn và khả năng tiếp cận sâu hơn đến các mô hình tiên tiến. Hãy tưởng tượng kết hợp chuyên môn bảo mật của họ với các hệ thống AI ngày càng mạnh mẽ hơn. Câu hỏi lớn hơn là liệu điều này có trở thành xu hướng không? Tôi sẽ không ngạc nhiên nếu các phòng thí nghiệm AI khác, bao gồm cả các công ty AI tiên tiến Trung Quốc, theo đuổi các đối tác hoặc thương vụ mua lại tương tự. Các công ty bảo mật Web3 cũng có thể là một phần của sự thay đổi này. Hãy tưởng tượng một phòng thí nghiệm AI tiên tiến mua lại một công ty như CertiK hoặc xây dựng mối quan hệ chiến lược sâu sắc với một công ty như vậy. Chúng ta đã chứng kiến sự sáp nhập trong lĩnh vực bảo mật Web3, chẳng hạn như thương vụ Zellic mua lại Code4rena. AI có thể đẩy nhanh xu hướng này thêm nữa. Nhưng có một điểm cần lưu ý. Khi AI làm cho việc phát hiện lỗ hổng trở nên rẻ hơn và dễ mở rộng hơn, giá trị của công việc bảo mật có thể thay đổi. Các cuộc kiểm tra thủ công thuần túy có thể đối mặt với áp lực ngày càng tăng, trong khi các nhà nghiên cứu biết cách sử dụng AI để phát hiện ra các lỗi sâu sắc và phức tạp hơn sẽ trở nên quý giá hơn bao giờ hết. Bài học của tôi? Học cách làm việc cùng LLMs. Xây dựng công cụ. Tìm lỗi. Công bố nghiên cứu. Xây dựng danh tiếng. Tương lai có thể không thuộc về những người kiểm tra cạnh tranh với AI, mà thuộc về những người biết cách sử dụng nó tốt hơn bất kỳ ai khác. An ninh mạng đang bước vào một giai đoạn mới, và bảo mật Web3 sẽ không ngoại lệ.

Rất tiếc khi nghe điều này. Một bài học quan trọng ở đây là việc giữ một số tiền lớn trong một ví duy nhất tạo ra một điểm lỗi đơn lẻ nghiêm trọng. Một vài thực hành cơ bản có thể giảm đáng kể rủi ro: → Chia nhỏ số tiền lớn thành nhiều ví thay vì giữ tất cả ở một nơi. → Sử dụng ví phần cứng/ví lạnh cho các khoản đầu tư lớn. Việc giữ khóa riêng biệt khỏi các hệ thống trực tuyến giúp chúng khó bị xâm phạm từ xa hơn nhiều. → Sử dụng multisig cho các khoản lớn hơn. Yêu cầu nhiều chữ ký độc lập có nghĩa là việc xâm phạm một chữ ký/khóa duy nhất không đủ để di chuyển số tiền. → Mật khẩu mạnh @opsek_io rất quan trọng. Hiểu rõ bạn đang ký gì, khóa của bạn được lưu ở đâu, ai có quyền truy cập vào chúng và thông tin nào bạn chia sẻ công khai. Không có giải pháp nào là “viên đạn bạc”, nhưng khi kết hợp lại, chúng có thể giảm đáng kể phạm vi thiệt hại khi bị xâm phạm. Đừng ngần ngại nhắn tin trực tiếp cho tôi nếu có bất kỳ câu hỏi hay cần hỗ trợ nào. Tôi sẵn sàng giúp đỡ trong khả năng của mình.

Chúc mừng tất cả các đội được chọn cho Base Batches 004 👏 Là một công ty bảo mật, chúng tôi tin rằng bảo mật nên được tích hợp ngay từ ngày đầu tiên, chứ không phải thêm vào sau sự cố đầu tiên. Một vài điều mà mọi đội nên cân nhắc khi xây dựng: 1. OpSec + bảo mật hạ tầng Bảo mật bắt đầu từ đội ngũ của bạn. Đào tạo nhân viên và nhóm cốt lõi về các thực hành bảo mật tốt nhất, đặc biệt là các mẹo từ @opsek_io, nhận thức về lừa đảo, bảo mật tài khoản, quản lý khóa và kỹ thuật xã hội. Luôn tham gia các cuộc họp quan trọng và truy cập vào các hệ thống then chốt từ máy tính xách tay/thiết bị làm việc chuyên dụng, thay vì thiết bị cá nhân. Đội ngũ của bạn thường là hàng phòng thủ đầu tiên. Một thiết bị, tài khoản hoặc nhân viên bị xâm phạm có thể trở thành điểm xâm nhập cho một cuộc tấn công lớn hơn nhiều. 2. Multisig + thiết bị an toàn Bạn đang nhận được 100.000 USD tài trợ, hãy dùng một phần số tiền đó để đầu tư vào bảo mật. Mua ví phần cứng như @Ledger, sử dụng multisig cho các quỹ then chốt và giữ riêng các thiết bị chuyên dụng cho hoạt động làm việc/crypto. Đừng dùng cùng một thiết bị cho mọi việc. Việc tách biệt hoạt động làm việc, cá nhân và các thao tác ký quan trọng giúp giảm khả năng phần mềm độc hại hoặc thiết bị bị xâm phạm tiếp cận các hệ thống nhạy cảm nhất của bạn. Một khóa bị xâm phạm duy nhất không bao giờ nên đủ để gây thiệt hại nghiêm trọng. Để quét multisig an toàn, bạn có thể tích hợp vào sản phẩm của chúng tôi: https://t.co/85ArM12r7p 3. Bảo mật frontend Hợp đồng của bạn có thể hoàn toàn an toàn, nhưng người dùng vẫn có thể bị rút sạch tài sản thông qua frontend bị xâm phạm. Lừa đảo, xâm phạm DNS/miền và thay đổi giao diện người dùng độc hại là những con đường tấn công phổ biến. Bảo vệ giao diện mà người dùng thực sự tương tác. 4. Giám sát trên-chain + phản ứng sự cố Bảo mật không dừng lại sau khi triển khai. Giám sát 24/7 có thể giúp phát hiện sớm các giao dịch bất thường, thay đổi quản trị, chuyển động quỹ khả nghi và các bất thường khác. Và khi sự cố xảy ra, tốc độ là yếu tố then chốt. Hãy có kế hoạch phản ứng sự cố rõ ràng, vai trò được xác định rõ và khả năng nhanh chóng khống chế cuộc tấn công. Bảo mật đi kèm chi phí. Nhưng chi phí của việc không bảo vệ những gì bạn đang xây dựng có thể cao hơn nhiều. Chúc mừng lần nữa đến tất cả các đội – xây dựng nhanh, nhưng hãy xây dựng an toàn. 🔐 Nếu bạn muốn thảo luận bất cứ điều gì về bảo mật, đừng ngần ngại nhắn tin trực tiếp cho tôi! CC: @SaturdayBank @mercatus_ai @contavcbr @Tribeca_xyz @Flovia402 @bitrepo_xyz @get_grow_app @GreekDotFi @LEDiG_Tech @RennFinance

Đọc “CyberChainBench: Liệu các tác nhân AI có thể bảo vệ hợp đồng thông minh trước các lỗ hổng thực tế trên chuỗi?” Nghiên cứu rất thú vị về mức độ hiện tại của các tác nhân AI trong lĩnh vực bảo mật hợp đồng thông minh. Bài báo đánh giá các tác nhân AI trên 541 vụ khai thác thực tế trên 9 chuỗi EVM —> không phải các lỗ hổng tổng hợp hoặc đoạn mã tĩnh. Các tác nhân phải thực hiện ba việc: • Phát hiện lỗ hổng • Tái tạo vụ khai thác • Sửa lỗ hổng Một số điểm rút ra của tôi 👇

Đã kết thúc phiên panel hôm nay tại @CoinFerenceX Về chủ đề: Bảo vệ vốn tổ chức: Lưu ký, các vụ khai thác và cảnh quan mối đe dọa mới Cùng tham gia: Jason Jiang (CBO, @CertiK) Alex Horlan (CTO, @d0rsky @HackenProof) Jock Haslam (@jockhaslam @Hashlock_) Được điều phối bởi Adam Wasserman Chúng tôi đã đi sâu vào các rủi ro lưu ký, các vụ khai thác thực tế, lỗ hổng trong chuỗi nhà cung cấp và vai trò ngày càng phát triển của AI trong việc bảo vệ vốn tổ chức. Tự hào đại diện cho @QuillAudits_AI như một tiền tuyến trong bảo mật RWA và token hóa, khi chúng tôi tiếp tục xây dựng giải pháp bảo mật toàn diện cho thế giới trên-chain.