關於學習智能合約安全，有六件事是任何課程、貼文或學習路徑都無法讓你準備好的： 1. 「我能解釋這個漏洞」和「我能在不熟悉的程式碼中發現這個漏洞」之間的差距，才是真正的實務工作。人人都教第一點，但幾乎沒有人教第二點。 2. 你每讀一份審計報告，所學到的知識都與任何課程一樣多，但沒有人告訴你要去讀它們。 3. DeFi 原語、Aave、Uniswap、借貸、AMM，這些都不是可選的。你無法審計你不理解的東西。 4. 撰寫報告的能力佔了報酬的一半，發現漏洞則是另一半。 5. 如果你使用得當，AI 是世界上最好的學習夥伴；但如果你使用不當，它會是最快讓你偽裝進步的方式。 沒有人會評估你的進度。這種自由既是重點，也是最困難的部分。 沒有人會送你這份清單。你必須在過程中自己寫出來。

大多數人選擇較容易的路徑， 不是因為懶惰，而是因為那條路更容易：更快出成果、更清晰的回饋，以及一份能向父母解釋的職業。 我選擇了智能合約安全。這條路的起點極其艱難，回饋週期長達數月，有些日子甚至難以判斷自己是否前進了一步。 但這條路的上限截然不同，而我每晚感受到的懷疑，只是追求目標所必須付出的代價。 如果你也在走一條艱難的路，你不需要它變得更容易，你只需要持續堅持下去。

幾週前，我剛在大學完成畢業專題，是一個用於校園選舉的區塊鏈投票系統，採用 Keccak256 實名認證，花了六個月時間開發。 但這週我讀了 BonkDAO 的事件分析報告：2000 萬美元被盜，卻沒有一行代碼存在漏洞。攻擊者只是買足夠的代幣，就通過了提案。 我的系統也會以同樣方式崩潰。 代碼乾淨，身份雜湊運作正常，處處遵循 checks-effects-interactions 模式，但我從未建模經濟層，也從未問過：當取得投票權的成本低於投票所控制的價值時，會發生什麼？ 我的答辯委員會也沒發現這個問題，因為大學裡沒有人會關注這一點。 你的代碼正確與系統安全之間的鴻溝，才是真正的挑戰所在。這正是我未來幾年將專注的領域。

剛寫完最後的論文並通過了專題答辯，大學生活正式結束。 進入智能合約安全領域已七個月，卻尚未有任何發現。但這是我人生中第一次完全擁有自己的每一天。 因此，我給接下來的三個月設定了一個目標：在10月1日前獲得第一個有效的發現。 每日例行事項： → 每天完成 Ethernaut 挑戰 → 完成 @CyfrinUpdraft 進階 Foundry 課程 → 閱讀 Solodit 報告，學習真實漏洞是如何被發現的 → 所有內容均記錄在 GitHub 上 第一站：First Flights。 我實話說，尋找真實代碼庫中的漏洞讓我感到害怕。教程總讓人覺得自己已經準備好了，但我知道我可能還遠遠不夠。 但我會在這裡記錄整個過程——無論是成功還是被拒絕，全部記錄下來。 如果你也剛踏入這個領域，歡迎一起跟進。讓我們看看連續90天專注投入到底會是什麼樣子。

進入智能合約安全領域已7個月，仍無任何發現。但我對AI有了新的體會，這改變了我的學習方式。 我曾連續數天卡在Foundry測試失敗，不斷請Claude幫我修復，它確實修好了，但隨後又出現其他問題，陷入無盡循環。 直到我不再要求修復，而是開始詢問解釋，我才真正理解了代碼，而非僅僅打補丁。 微小的轉變，卻帶來截然不同的結果。如果你是初學者，試圖用AI跳過困難的部分，那你其實跳過了唯一能讓你變強的部分。

大多數人進入 Web3 是為了快速賺錢。 很少有人願意從事真正創造價值的技術工作。 人人都想要空投，但幾乎沒有人想了解分發空投的合約。 人人都想要收益，但幾乎沒有人想審計產生收益的協議。 機遇從來不在熱潮中，而一直存在於想要獎勵的人數與願意從事底層工作的人數之間的鴻溝中。 這道鴻溝至今依然寬廣。

駭客已經在使用 AI 尋找漏洞。 而保護協議的人仍在爭論使用 AI 是否合適。 讓你好好想一想。 當白帽黑客還在就 AI 在安全中的倫理問題展開討論時，黑帽黑客早已給出答案並繼續前進。他們正利用 AI 更快地掃描程式碼庫、生成攻擊假設，並在長時間審查後發現人類審計員忽略的邊界案例。 攻擊方一向比防禦方進展更快，而 AI 只是讓這道鴻溝變得更寬。 這不是對安全未來的預測，而是正在發生的事實。去年因攻擊損失的 21 億美元，並非因為攻擊者更聰明，而是因為他們更少猶豫。 那些能比目標更快將 AI 用作武器的審計員和研究人員，將定義未來三年 Web3 安全的樣貌。 那些等待許可的人，已經落後了。

我在第四個月幾乎放棄了智能合約安全，因為和我一起開始的人比我先發現了第一個漏洞。 同樣的開始日期，同樣的資源，卻有不同的結果，我將此視為個人失敗。 我當時沒看到的是，他們每天花六小時尋找漏洞，而我還停留在教程階段。從外部看，時間線似乎相同，但實際投入卻截然不同。 這個認知，我至今仍在努力轉變：從關注他人在做什麼，轉為專注於那些尚未被看見的投入時間。 你並沒有落後於那些比你先行的人，你只是沒看到他們為達到那一步實際做了什麼。

大多數人認為進入智能合約安全領域需要計算機科學學位、多年經驗，或某種特殊許可。 其實不需要。 真正需要的，只是願意與那些看似毫無意義的代碼相伴，公開學習時不怕顯得愚笨，並在第二天依然堅持出現。 障礙不是技術性的，而是心理性的。這其實是個好消息，因為心理障礙是你能選擇去跨越的。

在 Web2 中，如果被人駭客入侵，你可以凍結帳戶、聯絡銀行、並報警處理。 在 Web3 中，交易一旦完成便無法撤銷，無法凍結，也沒有客服電話。 程式即法律，這聽起來很強大，但當程式出現漏洞時，它就只是一筆無人能撤銷的昂貴錯誤。 這正是為何 Web3 的安全性並非可有可無，而是整個基礎。