QuillAudits 團隊已抵達孟買參加 @EFDevcon 我們的審計師、研究員、開發人員、市場團隊及管理層現於當地舉辦活動、發表演講，並與 Web3 社區交流。 從代幣化到區塊鏈安全，我們非常期待參與塑造 Web3 未來的對話。 如果您想在 Devcon 與我們見面， 追蹤我們團隊的行程，查看誰參加了哪些活動，並透過 UsePulse 註冊以在 Devcon 期間找到我們！ 👇 查看我們的活動時間表： https://t.co/15F1ESWie1

老實說，標題一開始嚇到我了。我們已經賣審計服務超過8年了 😅 但讀完全文後，真正的重點才更打動我：客戶不是討厭審計，而是討厭在不知道修復成本之前，就得為一份問題清單付錢。 坦白說，web3 安全領域也面臨完全相同的問題。 創始人總把審計推到主網上線前最後一週，因為在他們看來，這只是一份 PDF 和一張帳單。然後報告出來了，開發人員修復了發現的問題，但團隊幾乎什麼都沒學到。 我們在 QuillShield 上親眼見證了這一點：它獨立發現了一條與12人審計團隊標記為「已排除」的漏洞不同的攻擊路徑——該路徑曾因一道防護措施而被阻斷。QuillShield 寫了一個通過的利用測試，並由人類審計員在主網分叉上驗證。四位審核者一致確認該漏洞真實存在。 真正有效的做法，在 AI 代理和安全領域都一樣： 在深入他們的工作時，教導團隊 最好的發現來自於人們向你展示他們真實的工作流程 讓團隊比你發現時更好，而不僅僅是給他們一份報告 「審計依然會進行，但不必成為你要求他們預先支付的項目。」 正在構建項目並準備參加 Devcon？來聊聊你的團隊如何在審計結束後長期保持安全。我的私訊一直開放 🤝 很棒的文章 @lukepierceops 👇

老實說，這感覺更像是為了說服人們賣出他們的比特幣而設計的營銷策略，而非對市場走向的客觀分析。 我們正邁向一個數位優先的世界，看看 @PhonePe 和其他數位支付應用程式。人們正在走向無現金社會，因為科技讓交易更快、更簡單、更方便。 比特幣和數碼資產也正經歷同樣的轉變：更快的全球交易、無國界付款、金融可及性，以及無需完全依賴傳統中介即可轉移價值的能力。 每一項技術都有其限制和風險，但這並不意味著我們應該否認其潛力。科技是為了解決問題而進化的。 真正重要的問題不是比特幣是否有缺陷，而是它的長期實用性和採用率能否持續增長。僅憑當前市場表現來評判一項新興技術，可能會錯過更大的圖景。 AI 代理需要一種方式來支付服務、存取資料並自主執行任務。像 @base x402 這樣的協議，能實現 AI 代理與服務之間的原生網際網路付款。 隨著 AI 代理變得更強大並朝向超智慧發展，對可程式化付款、機器對機器交易以及無許可金融基礎設施的需求可能會顯著增加。 我不認為隨著 AI 變得越來越重要，比特幣、區塊鏈或加密貨幣就會簡單地消失。事實上，AI 代理的崛起可能為區塊鏈和數碼資產創造新的使用情境。 真正重要的問題不是 AI 或加密貨幣誰會勝出，而是這兩者將如何共同演進，以建構下一代網際網路。

為團隊成功推出此產品感到自豪。 開發者應使用它的原因： 1. 檢測率 – 在 EVM-bench 上達 84 %。 2. 已驗證的 PoC 利用程式 – 每項完整審計發現均包含可運作的概念驗證利用程式，讓您在修復前先看到漏洞。 3. CI/CD 覆蓋範圍 – 初始審計後，每個 PR、合併請求和提交都會透過 GitHub App、Actions 或 GitLab webhook 自動掃描，確保審計間的覆蓋持續進行。 4. 專案記憶體 – 工具會為每個專案保留記憶體（文件、上下文、過往發現），讓每次掃描都能比上一次更深入了解您的程式碼庫。 5. 原生開發者工具支援 – 可透過 REST API、qs CLI、Cursor 和 Claude 的 MCP，以及 Foundry 專案使用。支援從 GitHub、GitLab、zip 檔案或 .sol 檔案匯入。

每個人都知道 Ledger 最近發生了什麼事。 但真正的教訓是什麼？ 一名經銷商的設備被物理植入了惡意裝置。該植入物在設置過程中監控螢幕，竊取了 24 個單詞的助記詞，並透過 LTE 傳送出去。安全元件從未被觸碰，正品檢查仍通過。 這不僅僅是 Ledger 的問題。 它適用於你購買的任何實體產品：其他硬體錢包、二手手機、從經銷商那裡購買的「全新」設備，任何在工廠與你手中之間經過的裝置。 你的安全性，取決於該產品到達你手中的整個途徑有多安全。 真正重要的基本 OPSEC： 盡可能直接從製造商官網購買。這能大幅降低硬體供應鏈風險。 • 對於較高資金 → 僅使用多重簽名。單一被入侵的設備無法單獨轉移資金。 • 抵禦軟體攻擊：在將設備或密鑰環境視為安全前，重置或重新安裝兩到三次。 • 永遠不要信任任何來源存疑的設備所產生的助記詞（或私密資料）。 • 首次設置時，先用少量資金測試。假設最壞的情況發生。 硬體本身依舊可靠。 始終對安全性保持警覺。

如果傳出的 @OpenAI 與 @trailofbits 收購案成真，我認為這可能成為網絡安全未來發展的重要信號。 Trail of Bits 透過嚴謹的安全研究、開源工具和深厚的技術專長建立了聲譽。其與 OpenAI 在「Patch the Planet」項目的合作，也展現了 AI 與安全專業知識如何協同合作，以大規模發現並修復漏洞。 但為何要收購一家安全公司？ 前沿 AI 實驗室需要的不只是更優秀的模型，它們還需要現實世界的安全專長、漏洞數據集，以及理解軟體如何失效的人才。像 Trail of Bits 這樣的團隊，有助於提升模型發現、推理與修復漏洞的能力。 對 Trail of Bits 而言，潛在的收益同樣令人興奮：更多資金、更強大的資源，以及可能更深入接觸前沿模型的機會。試想將其安全專業知識與日趨強大的 AI 系統相結合。 更大的問題是，這是否會成為一種趨勢？ 我不會意外看到其他 AI 實驗室，包括中國的前沿 AI 公司，也追求類似的合作或收購。Web3 安全公司也可能參與這一轉變。試想一家前沿 AI 實驗室收購像 @CertiK 這樣的公司，或與其建立深度戰略合作。 我們已見到 Web3 安全領域的整合，例如 @zellic_io 收購 @code4rena。AI 可能進一步加速這一趨勢。 但這裡有一個關鍵問題。 隨著 AI 使漏洞發現變得更便宜且更具可擴展性，安全工作的價值可能發生轉移。純手動審計將面臨越來越大的壓力，而能夠利用 AI 發現更深入、更複雜漏洞的研究人員，將變得更加珍貴。 我的結論是？ 學習與 LLM 協同工作。開發工具。發現漏洞。發表研究。建立聲譽。 未來可能不屬於與 AI 競爭的審計員，而是屬於那些比其他人更懂得善用 AI 的人。 網絡安全正進入一個新階段，而 Web3 安全不會置身事外。

聽到這件事真令人遺憾。 這裡一個重要的教訓是：將大量資金集中存放在單一錢包中，會造成重大的單一故障點。 以下幾項基本做法能顯著降低風險： → 將大筆資金分散至多個錢包，而非全部集中於一處。 → 對於重要資產，使用硬體錢包或冷錢包。將私鑰與線上系統隔離，能大幅降低遠端被入侵的風險。 → 對於較大金額，使用多重簽名（multisig）。要求多個獨立簽名才能轉移資金，意味著僅入侵單一簽名人或私鑰並不足以動用資金。 → 強烈建議關注 @opsek_io。了解您正在簽署的內容、私鑰儲存位置、誰有權限存取，以及您公開分享了哪些資訊。 這些措施並非萬靈丹，但綜合使用能大幅縮小被入侵時的損失範圍。 如有任何疑問或需要協助，歡迎私訊我。很樂意在能力範圍內提供幫助。

恭喜所有獲選進入 Base Batches 004 的團隊 👏 作為一家安全公司，我們相信安全應從第一天就融入設計，而非在首次事件發生後才補救。 以下是每支團隊在開發時應考慮的幾點： 1. 運營安全（OpSec）與基礎設施安全 安全始於你的團隊。 對員工和核心團隊進行安全最佳實踐培訓，特別是來自 @opsek_io 的建議、釣魚攻擊意識、帳戶安全、密鑰管理與社交工程防範。 重要會議與關鍵系統的存取，請務必使用專用的工作筆電或裝置，而非個人裝置。 你的團隊往往是第一道防線。一個被入侵的裝置、帳戶或員工，都可能成為更大攻擊的入口。 2. 多重簽名（Multisig）與安全裝置 你們將獲得 100K 美元的資金，請用其中一部分投資於安全。 購買如 @Ledger 等硬體錢包，為關鍵資金使用多重簽名，並專用獨立裝置處理工作與加密貨幣操作。 不要將同一裝置用於所有用途。分離工作、個人活動與關鍵簽署操作，可降低惡意軟體或被入侵裝置觸及最敏感系統的機率。 單一被入侵的密鑰不應足以造成嚴重損害。 如需安全的多重簽名掃描，可整合我們的產品： https://t.co/85ArM12r7p 3. 前端安全 即使合約本身完全安全，用戶仍可能因被入侵的前端而遭受損失。 釣魚攻擊、DNS/網域被入侵與惡意 UI 變更都是常見的攻擊路徑。請保護用戶實際互動的介面。 4. 鏈上監控與事件回應 安全並非在部署後就結束。 24/7 監控有助於及早偵測異常交易、管理權變更、可疑資金流動及其他異常行為。 當事件發生時， 速度至關重要。 請制定明確的事件回應計畫、定義角色分工，並具備快速遏制攻擊的能力。 安全需要成本。 但不為你所打造的項目做好安全防護，代價可能更高。 再次恭喜所有團隊——快速開發，但更要安全開發。 🔐 如需討論任何安全議題，歡迎私訊我！ CC：@SaturdayBank @mercatus_ai @contavcbr @Tribeca_xyz @Flovia402 @bitrepo_xyz @get_grow_app @GreekDotFi @LEDiG_Tech @RennFinance

閱讀《CyberChainBench：AI 代理能否應對真實鏈上漏洞對智能合約的威脅？》 這項研究非常有趣，探討了當前 AI 代理在智能合約安全方面的表現。 論文評估了 AI 代理在 9 條 EVM 鏈上對抗 541 個真實世界攻擊的表現——而非合成漏洞或靜態程式碼片段。 這些代理需要完成三項任務： • 檢測漏洞 • 重現攻擊 • 修復漏洞 我的一些心得 👇

今日於 @CoinFerenceX 參與圓桌討論 關於保障機構資本：託管、攻擊事件與新興威脅格局 與會嘉賓： Jason Jiang（CBO，@CertiK） Alex Horlan（CTO，@d0rsky @HackenProof） Jock Haslam（@jockhaslam @Hashlock_） 由 Adam Wasserman 主持 我們深入探討了託管風險、真實世界的攻擊事件、供應鏈漏洞，以及 AI 在保障機構資本方面日益重要的角色。 很榮幸代表 @QuillAudits_AI，作為 RWA 與代幣化安全的前沿力量，持續為鏈上世界構建全棧安全解決方案。