sáu điều về việc học bảo mật hợp đồng thông minh mà không khóa học, bài viết hay lộ trình nào chuẩn bị cho bạn: 1. Khoảng cách giữa “tôi có thể giải thích lỗ hổng này” và “tôi có thể phát hiện lỗ hổng này trong mã chưa từng thấy” chính là công việc thực sự. Mọi người đều dạy phần đầu. Hầu như không ai dạy phần thứ hai. 2. Mỗi báo cáo kiểm toán bạn đọc đều đang dạy bạn nhiều như bất kỳ khóa học nào, nhưng không ai nói bạn nên đọc chúng. 3. Các nguyên lý DeFi, Aave, Uniswap, cho vay, AMM không phải là tùy chọn. Bạn không thể kiểm toán những gì bạn không hiểu. 4. Kỹ năng viết báo cáo chiếm một nửa số tiền thưởng. Việc phát hiện lỗ hổng chỉ là nửa còn lại. 5. AI là bạn học tốt nhất trên thế giới nếu bạn sử dụng nó đúng cách. Đó là cách nhanh nhất để tự đánh lừa tiến độ của chính mình nếu bạn không cẩn thận. Không ai chấm điểm tiến độ của bạn. Sự tự do đó vừa là mục đích, vừa là phần khó nhất. Không ai gửi cho bạn danh sách này. Bạn tự viết ra nó khi tiến hành.

Hầu hết mọi người chọn con đường dễ dàng hơn. Không phải vì họ lười, mà vì nó dễ hơn. Nhanh hơn, phản hồi rõ ràng hơn, và có một công việc cuối cùng mà bạn thực sự có thể giải thích cho bố mẹ mình. Tôi chọn an toàn hợp đồng thông minh. Con đường này vô cùng gian nan. Chu kỳ phản hồi kéo dài hàng tháng. Có những ngày, tôi khó có thể xác định mình đã tiến bộ được bao nhiêu. Nhưng giới hạn của nó thì khác biệt, và sự nghi ngờ tôi cảm thấy hầu hết các đêm chỉ là giá phải trả để theo đuổi nó. Nếu bạn cũng đang đi trên con đường khó khăn, bạn không cần nó trở nên dễ dàng hơn. Bạn chỉ cần tiếp tục kiên trì xuất hiện.

Vài tuần trước, tôi vừa bảo vệ đồ án tốt nghiệp đại học – một hệ thống bỏ phiếu dựa trên blockchain cho các cuộc bầu cử trong trường. Sử dụng xác minh danh tính keccak256. Đó là kết quả của sáu tháng làm việc. Sau đó, tôi đọc bài viết về BonkDAO tuần này: $20 triệu đã bị rút sạch mà không có một dòng mã nào bị lỗi. Kẻ tấn công chỉ cần mua đủ token để thông qua đề xuất. Hệ thống của tôi cũng sẽ sụp đổ theo cách tương tự. Mã nguồn của tôi sạch sẽ, việc tạo hash danh tính hoạt động tốt, mọi nơi đều tuân thủ nguyên tắc checks-effects-interactions. Nhưng tôi chưa từng mô hình hóa lớp kinh tế. Tôi chưa bao giờ đặt câu hỏi: điều gì xảy ra khi chi phí để sở hữu quyền bỏ phiếu giảm xuống dưới giá trị của những gì phiếu bầu kiểm soát? Hội đồng bảo vệ của tôi cũng không phát hiện ra điểm này – bởi vì đó không phải là nơi mà bất kỳ ai trong trường đại học thường nhìn vào. Khoảng cách giữa việc mã của bạn đúng và hệ thống thực sự an toàn chính là nơi chứa đựng công việc thực sự. Đó là phần tôi sẽ chọn để tập trung trong vài năm tới.

Tôi vừa hoàn thành các bài luận cuối cùng và bảo vệ dự án. Đại học chính thức kết thúc. Đã 7 tháng tìm hiểu về bảo mật hợp đồng thông minh, nhưng chưa có phát hiện nào. Và lần đầu tiên trong đời, tôi sở hữu trọn vẹn cả ngày của mình. Vì vậy, tôi giao cho 3 tháng tới một nhiệm vụ duy nhất: có được phát hiện hợp lệ đầu tiên trước ngày 1 tháng 10. Lịch trình hàng ngày: → Làm Ethernaut challenge mỗi ngày → Hoàn thành khóa học Advanced Foundry của @CyfrinUpdraft → Đọc các báo cáo Solodit để học cách phát hiện lỗ hổng thực tế → Tất cả được ghi lại trên GitHub Điểm dừng đầu tiên: First Flights. Tôi thành thật mà nói, việc săn tìm lỗ hổng thực sự trong các mã nguồn thực tế khiến tôi sợ hãi. Các hướng dẫn khiến bạn cảm thấy đã sẵn sàng, nhưng tôi biết mình có lẽ vẫn chưa đủ. Nhưng tôi đang ghi lại toàn bộ hành trình này. Những thành công, những lần bị từ chối, tất cả đều được ghi lại. Nếu bạn cũng đang ở giai đoạn đầu trong lĩnh vực này, hãy theo dõi cùng tôi. Hãy cùng xem 90 ngày tập trung cao độ thực sự trông như thế nào.

Đã 7 tháng vào lĩnh vực bảo mật hợp đồng thông minh. Vẫn chưa tìm ra lỗi nào. Nhưng tôi đã nhận ra một điều về AI đã thay đổi cách tôi học tập. Tôi đã bị kẹt với các bài kiểm tra Foundry không qua trong nhiều ngày. Liên tục nhờ Claude sửa chúng. Nó sửa được. Sau đó lại có cái khác bị hỏng. Vòng lặp không bao giờ kết thúc. Sau đó, tôi ngừng yêu cầu sửa lỗi và bắt đầu hỏi về lời giải thích. Đột nhiên, tôi thực sự hiểu mã nguồn thay vì chỉ vá lỗi một cách máy móc. Một thay đổi nhỏ. Kết quả hoàn toàn khác biệt. Nếu bạn là lập trình viên cấp dưới dùng AI để bỏ qua những phần khó, bạn đang bỏ qua chính phần duy nhất giúp bạn trở nên giỏi.

Hầu hết mọi người bước vào web3 với mong muốn kiếm tiền nhanh. Rất ít người sẵn sàng thực hiện công việc kỹ thuật thực sự tạo ra giá trị. Ai cũng muốn airdrop. Gần như không ai muốn hiểu hợp đồng phân phối nó. Ai cũng muốn lợi nhuận. Gần như không ai muốn kiểm toán giao thức tạo ra nó. Cơ hội không bao giờ nằm ở sự huyên náo. Nó luôn nằm ở khoảng cách giữa số người muốn nhận phần thưởng và số người sẵn sàng làm công việc nền tảng phía sau. Khoảng cách đó vẫn còn rất rộng mở.

Các tin tặc đã sử dụng AI để tìm ra các lỗ hổng. Những người bảo vệ các giao thức vẫn đang tranh luận xem liệu việc sử dụng nó có chấp nhận được không. Hãy suy ngẫm về điều đó trong một giây. Trong khi các chuyên gia bảo mật trắng đang thảo luận về đạo đức của AI trong an ninh, các tin tặc đen đã trả lời câu hỏi đó và tiếp tục tiến lên. Họ đang dùng AI để quét các cơ sở mã nhanh hơn, tạo ra các giả thuyết khai thác và phát hiện các trường hợp biên mà các chuyên gia kiểm tra con người bỏ sót sau những buổi đánh giá kéo dài. Bên tấn công luôn di chuyển nhanh hơn bên phòng thủ. AI chỉ làm cho khoảng cách đó rộng hơn nữa. Đây không phải là một dự đoán về tương lai của an ninh. Đây là điều đang xảy ra ngay bây giờ. Số tiền 2,1 tỷ USD bị mất do các vụ khai thác năm ngoái không xảy ra vì kẻ tấn công thông minh hơn. Mà vì chúng ít do dự hơn. Những chuyên gia kiểm tra và nhà nghiên cứu biết cách sử dụng AI như một vũ khí trước khi mục tiêu của họ làm được mới là những người sẽ định hình hình dạng của an ninh web3 trong 3 năm tới. Những người đang chờ sự cho phép đã tụt lại phía sau.

Tôi gần như bỏ cuộc trong lĩnh vực bảo mật hợp đồng thông minh vào tháng thứ tư vì một người bắt đầu cùng tôi đã tìm ra lỗ hổng đầu tiên trước tôi. Cùng ngày bắt đầu. Cùng nguồn lực. Kết quả khác nhau. Và tôi lấy điều đó làm cá nhân. Điều tôi không nhận ra là họ đang săn lùng 6 giờ mỗi ngày, trong khi tôi vẫn còn ở chế độ học hướng dẫn. Từ bên ngoài, tiến độ trông giống nhau, nhưng đầu vào hoàn toàn khác biệt. Sự nhận thức đó là điều tôi vẫn đang tích cực nỗ lực thay đổi: từ việc theo dõi mọi người xung quanh sang việc chỉ cần dành thời gian cần thiết, dù chưa ai thấy được. Bạn không hề tụt hậu so với những người đi trước bạn. Bạn chỉ không thấy họ đang làm gì để đạt được vị trí đó.

Hầu hết mọi người nghĩ rằng việc bước vào lĩnh vực bảo mật hợp đồng thông minh đòi hỏi bằng cấp khoa học máy tính, nhiều năm kinh nghiệm hoặc một loại giấy phép đặc biệt nào đó. Điều đó không đúng. Điều thực sự cần thiết là sự sẵn sàng ngồi lại với mã nguồn khiến bạn bối rối, cảm thấy ngốc nghếch khi học hỏi trước công chúng, và vẫn quay lại vào ngày hôm sau. Rào cản không phải là kỹ thuật. Đó là tâm lý. Và đó thực sự là tin tốt, vì những rào cản tâm lý là những thứ bạn có thể tự chọn để vượt qua.

Trong web2, nếu ai đó tấn công bạn, bạn sẽ khóa tài khoản, gọi cho ngân hàng và liên hệ với cơ quan thực thi pháp luật. Trong web3, giao dịch là cuối cùng. Không có cách khóa, không có hoàn tiền, không có số hỗ trợ khách hàng. Mã hóa là luật, nghe có vẻ mạnh mẽ, cho đến khi mã hóa có lỗi. Khi đó, mã hóa chỉ là một sai lầm đắt đỏ mà không ai có thể khắc phục. Đây là lý do tại sao bảo mật trong web3 không phải là lựa chọn, mà là nền tảng toàn bộ.