Финансирование безопасности Ethereum

Настоящая благодарность идёт SEAL Org, DAO Fund и всем, кто делает незаметную работу по поддержанию безопасности Ethereum. Мы вкладываем $200 тысяч в matching pool для раунда квадратичного финансирования Ethereum Security QF — после $1 млн, уже вложенного в SEAL ранее. Мне хочется объяснить, почему именно квадратичное финансирование, а не просто выписать чек напрямую нескольким известным командам — это осознанный выбор механизма, а не просто модное слово. Квадратичное финансирование вознаграждает широкую убеждённость сообщества — много небольших вкладчиков — вместо доминирования нескольких китов с большими чеками. Для security-исследований это принципиально важно: нужны разные независимые аудиторы, находящие разные классы уязвимостей, а не одна хорошо профинансированная команда с одним общим слепым пятном на всех. Вот что я буду отслеживать дальше, и честно скажу, если окажусь неправ: действительно ли этот QF-раунд выводит на свет новых security-исследователей, которых раньше не было видно, — или просто перераспределяет финансирование среди тех же устоявшихся фирм, которые и так получают прямые гранты от всех подряд. Если механизм сработает так, как задуман, — мы увидим новые имена в списке получателей следующего раунда. Если нет — вернусь сюда и признаю это.

pc (pcaversaccio) присоединяется к совету Ethereum Foundation. В анонсе перечислено то, что и так знает любой, кто давно в экосистеме: долгосрочный контрибьютор, сооснователь SEAL 911, участник Silviculture Society, «privacy and security maximalist» — цитирую формулировку фонда, она мне нравится своей прямотой. Совпадение по времени забавное: решение анонсировали в ту же неделю, когда баг энтропии в Coldcard стоил пользователям порядка $38 млн за 25 минут. Я почти уверен, что это именно совпадение — такие назначения обычно готовятся месяцами, а не реагируют на новости за сутки. Но совпадение всё равно показательное, просто по другой причине, чем кажется на первый взгляд. SEAL 911 существует ровно для одной задачи: координации реакции на инциденты в кризис, когда протоколы, биржи и пользователи одновременно понимают, что что-то пошло не так, и никто толком не знает, кому звонить первым. Это ровно тот тип работы, которого не хватило в истории с Coldcard — судя по всему, там расследование до сих пор идёт в основном через разрозненные посты в Twitter и Reddit, а не через скоординированный канал. Не берусь судить чужую экосистему по своим стандартам, но контраст показательный. Вопрос, который меня по-настоящему интересует в этом назначении — не сам факт места в совете, а идёт ли оно с расширением мандата: получит ли EF после этого назначения более формальную роль или бюджет именно на координацию реакции на инциденты безопасности, а не просто ещё одно уважаемое имя в списке членов совета. Governance-место без ресурсов — это признание заслуг. Governance-место с бюджетом — это институциональное изменение. Разница станет видна не из пресс-релиза, а из того, куда фонд направит финансирование в следующие два-три квартала. Будем считать это гипотезой, которую легко проверить постфактум — если через полгода бюджет EF на security incident response вырастет заметно, назначение было институциональным. Если нет — это было просто хорошо заслуженное признание одного конкретного человека.

Giveth опубликовали цифры: $1 млн в SEAL в 2025-м, ещё $200 тысяч в matching pool раунда Ethereum Security QF в этом году. Строчка в конце их поста зацепила меня больше самих цифр: «профилактика не делает заголовков так часто, как эксплойты, но именно она делает Ethereum сильнее». Сегодня эта фраза доказала себя в реальном времени, просто на чужом примере. Баг в энтропии Coldcard пролежал в прошивке пять лет никем не замеченным, пока кто-то не воспользовался им и не вывел около $38 млн за 25 минут. Пять лет тишины против 25 минут эксплойта — и я гарантирую вам, что охват у поста про кражу на порядки больше, чем когда-либо получит любой отчёт про профинансированный аудит, который мог бы эту дыру найти заранее. Вот в чём структурная проблема, а не просто грустное наблюдение: внимание — это рынок, и на этом рынке эксплойт всегда выигрывает у профилактики. Кража создаёт немедленную, конкретную, эмоционально заряженную историю с числом жертв и суммой ущерба. Аудит, который предотвратил бы её, — это отчёт, который почти никто не читает, потому что ничего не произошло, а «ничего не произошло» плохо продаётся в ленте. Это ровно та причина, по которой финансирование безопасности хронически недофинансировано относительно своей реальной ценности — не потому что сообщество не понимает важность, а потому что механизм внимания систематически вознаграждает не ту сторону уравнения. SEAL и раунды типа Security QF существуют именно для того, чтобы направлять деньги туда, где стимулы органически не работают сами по себе. Если вы читаете это после того как только что видели тред про Coldcard — вот прямое действие взамен ретвита с ужасом: посмотрите, идёт ли сейчас открытый раунд квадратичного финансирования security-грантов, и закиньте хоть немного, даже небольшая сумма в QF даёт непропорционально больше веса за счёт механики матчинга, чем тот же донат напрямую. Профилактика не сделает вам вирусный твит. Но именно она решает, увидим мы через год ещё один пост про украденные $38M, или нет.