Шифрование мир безопасного стража - Интервью с генеральным директором BlockSec Чжоу Яцзинем

Ведущий: Алекс, исследовательский партнер Mint Ventures

Гость: Чжоу Яцзин, генеральный директор компании по безопасности блокчейна BlockSec

Время записи: 2025.3.28

Сфера услуг и целевая аудитория BlockSec

Алекс: В этом выпуске мы обсудим тему, которая касается каждого из нас, а именно безопасность в мире шифрования. Прежде чем столкнуться с реальными рисками, мы часто думаем, что не станем жертвами инцидентов безопасности, о которых говорят в новостях. Как построить ограждение для своих активов и инвестировать в безопасной среде — это обязательная тема, которую нужно изучить перед началом нашего путешествия в мир шифрования. В этом выпуске подкаста мы пригласили Чжоу Яцзин из BlockSec, чтобы обсудить с нами тему безопасности в шифровании. Пожалуйста, поприветствуйте нас, учитель Чжоу.

Чжоу Яцзинь: Всем привет, я Чжоу Яцзинь, в настоящее время я являюсь CEO в BlockSec, а также я исследователь в области кибербезопасности в Университете Чжэцзян, очень рад познакомиться со всеми.

Алекс: Хорошо, давайте перейдем к основной теме сегодняшнего дня. Я уверен, что многие слушатели, возможно, не очень хорошо знакомы с компаниями и услугами по безопасности в сфере шифрования. Пожалуйста, расскажите, учитель Чжоу, о BlockSec, какие услуги вы предлагаете и кто может стать вашими клиентами.

Чжоу Яцзинь: Хорошо, BlockSec — это компания по безопасности Web3, мы были основаны в 2021 году. Когда речь заходит о безопасности Web3, первое, что приходит на ум, это безопасность аудита. На самом деле, сфера деятельности BlockSec не ограничивается только безопасным аудитом, мы также предлагаем ряд других продуктов и услуг безопасности. Конкретно, услуги можно разделить на три основные категории. Первая категория называется безопасностью цепочечных протоколов. Цепочечные протоколы — это те умные контракты, которые мы называем развернутыми на блокчейне для проведения некоторых DeFi или NFT, или других видов деятельности. Как обеспечить безопасность этих контрактов? BlockSec предоставляет услуги безопасного аудита и продукты для безопасного мониторинга. Вторая категория, на которую мы обращаем внимание, — это безопасность активов. Под безопасностью активов мы понимаем активы, которые есть у пользователей, например, эти активы могут находиться в их контрактных кошельках или быть инвестированы в некоторые цепочечные протоколы, как мы можем гарантировать безопасность этих пользовательских активов — это тоже одна из сфер услуг BlockSec. Третья категория — это соблюдение и регулирование. Мы заметили, что все больше традиционных финансовых учреждений входят в индустрию Crypto. Включая недавние новости, мы видим, что традиционные банки в Америке запускают некоторые стабильные монеты на цепочке, включая Crypto, входящее в сферу трансакций. На самом деле, после того как эти традиционные финансовые учреждения вошли в эту индустрию, это создало проблемы для регулирования: регуляторы не знают, как регулировать, а эти учреждения не знают, как соблюдать правила. Поэтому мы также помогаем регуляторам контролировать игроков, входящих в индустрию Crypto, или помогаем традиционным учреждениям, входящим в индустрию Crypto, соблюдать правила. Это три области нашей деятельности.

Наши клиенты охватывают широкий спектр. То, что можно представить, это проекты, занимающиеся децентрализованными финансами на блокчейне или другими услугами, например, платформы для предоставления кредитов на блокчейне, платформы для децентрализованной торговли - эти проекты являются нашими клиентами. Мы можем помочь им провести безопасный аудит перед развертыванием смарт-контрактов на блокчейне, чтобы с безопасной точки зрения проверить, есть ли у них уязвимости. Если уязвимости есть, их нужно своевременно исправить. Также, когда их протокол развертывается на блокчейне, у нас будет платформа мониторинга 7×24, чтобы следить за безопасностью их протоколов. Если произойдут какие-либо риски безопасности, наша платформа может своевременно уведомить протокол и автоматически заблокировать риски и атаки. Таким образом, разработчики и проекты, занимающиеся развертыванием смарт-контрактов на блокчейне, являются нашей типичной категорией клиентов. Вторая типичная категория клиентов - это владельцы активов, возможно, некоторые высокоценные клиенты, которые имеют активы в контрактных кошельках или инвестируют в некоторые протоколы на блокчейне. Наши услуги и продукты могут помочь им лучше следить за безопасностью тех протоколов, в которые они инвестируют. Как лицевая и обратная сторона монеты, с точки зрения проектных сторон протокола, мы можем помочь им повысить безопасность протокола. С точки зрения высокоценного клиента, инвестирующего в их протокол, мы можем помочь им следить за безопасностью протокола, в который они инвестируют. Если протокол, в который он инвестировал, подвергается риску безопасности, например, атаке, он должен иметь возможность в первую очередь вывести свои средства. Третья категория клиентов - это регулирующие и соблюдающие нормы организации, которые в основном представляют собой некоторые регулирующие органы, например, Комиссия по ценным бумагам и фьючерсам Гонконга, которая также является нашим клиентом, а также некоторые зарубежные правоохранительные органы, которым необходимо расследовать преступления, связанные с цифровыми валютами. Им необходимо использовать наши инструменты и платформы, чтобы облегчить извлечение доказательств, отслеживание средств и другие расследования. Это в основном наш общий бизнес и сфера наших клиентов.

О трех советах по шифрованию безопасности

Алекс: Понял, только что учитель Чжоу говорил о типах клиентов, их потребностях и общей ситуации в отрасли. Второй вопрос, возможно, будет более связан с индивидуальными инвесторами, особенно учитывая, что среди наших слушателей много людей, которые только начинают изучать и пробовать инвестировать в Web3. Если у вас есть друг, который только что вошел в сферу шифрования, и он знает, что вы занимаетесь услугами безопасности шифрования, пожалуйста, дайте ему три совета по безопасности шифрования. Какие три совета вы бы ему дали?

Чжоу Яцзинь: Это очень хороший вопрос. Мои друзья тоже часто спрашивают у меня совета по безопасности, и они тоже хотят войти в эту отрасль, но я слышал, что многие люди, кажется, сталкиваются с некоторыми рисками. Раньше мы шутили, что если вы вошли в мир криптовалют и не стали жертвой фишинга или мошенничества, вы не станете опытным игроком в этой области. Конечно, это шутка, но также видно, что рисков в этой отрасли очень много. Если бы мне нужно было высказать три предложения, первое, которое наверняка пришло бы всем в голову, касалось защиты закрытых ключей. В криптографической сфере доказательство того, что вы владеете средствами, на самом деле заключается в использовании приватного ключа, которым вы владеете, чтобы доказать свое право собственности на учетную запись. Приватный ключ — это строка цифр, которая не привязана к вашей личной личности. Как только эта строка чисел теряется или утекает, кто-то другой может иметь такой же контроль над вашими собственными средствами, как и вы. Это сильно отличается от нашего реального мира. В реальном мире, если ваш банковский пароль скомпрометирован, вы можете позвонить в банк и попросить заморозить счет, и ни у кого больше не будет возможности снять деньги. Но в криптомире, если ваш приватный ключ скомпрометирован, то человек, владеющий вашим приватным ключом, может перевести ваши средства с вашего счета без ограничений. Вообще говоря, существует несколько способов защиты закрытого ключа, например, у нас есть аппаратный кошелек, контрактный кошелек или приложение для мобильного телефона для защиты закрытого ключа. Каждый способ имеет свои преимущества и недостатки. Исходя из моего собственного опыта и общего опыта некоторых наших друзей по безопасности, основной принцип заключается в мнемонической фразе закрытого ключа: запишите его и положите в сейф, будь то сейф вашего собственного дома или банка, храните его, не трогайте его, в принципе, вы не можете им пользоваться. Затем используйте устройство, которому вы можете доверять относительно хорошо, будь то аппаратный кошелек или мобильный телефон, для хранения ваших приватных ключей. Этот телефон должен быть специализированным устройством, не предназначенным для выполнения каких-либо других оперативных действий, а только для управления собственными цифровыми активами. Это первое предложение. Второй совет — помнить о безопасности и рисках при совершении транзакций в сети. По сути, вам просто нужно запомнить одно предложение: в небе нет журавля. Мы обнаружили, что при совершении транзакций в сети пользователи подвергаются очень высокому риску фишинга. Многие KOL и OG, в том числе в знакомом нам криптомире, столкнулись с фишинговыми атаками и потеряли много денег. Если необъяснимый веб-сайт просит вас подключить кошелек для получения так называемого вознаграждения за аирдроп, вам нужно быть более осторожным в это время и помнить о безопасности. Третий совет заключается в том, что вам нужно немного знать об основах криптоактивов. Под базовыми знаниями понимается тот факт, что в криптоактивах у нас обычно есть понятие авторизации. Это отличается от традиционных финансов. Допустим, вы владеете типом цифрового актива, USDT или USDC, и с помощью ончейн-подписей вы можете авторизовать актив на контракт или других пользователей для его использования, и эта авторизация может быть достигнута путем подписания кучи странных вещей, которые вы не можете понять, через свой кошелек. Поэтому, когда вы подписываете подпись кошелька, потому что вы не совсем понимаете или вас обманули, вы подписываете авторизованную транзакцию, то кто-то другой может использовать все ваши цифровые активы. Поэтому нужно иметь немного базового представления об авторизации, чтобы не подписать такую транзакцию по ошибке при подписании подписи кошелька. Подводя итог, можно сказать, что основной совет таков: первый — защитить свой собственный приватный ключ и дать некоторые методы работы; Второй заключается в том, что нужно всегда быть осторожным при проведении транзакций в сети, а также иметь чувство безопасности и не стать жертвой фишинга; В-третьих, необходимо иметь базовое представление о механизме авторизации криптовалюты, чтобы вы не могли по ошибке подписать некоторые авторизованные транзакции.

Алекс: На самом деле у меня довольно много друзей с высоким уровнем благосостояния, они также являются OG или мастерами в этой сфере. По идее, те меры безопасности, о которых вы говорите, у них в какой-то степени присутствуют, но каждый год я слышу о том, что некоторые крупные инвесторы становятся жертвами кражи. В индустрии существует мнение, что если профессиональный хакер на вас нацелился, он знает, что ваш кошелек полон, и если он задействует все доступные ресурсы, вам, как правило, очень трудно избежать неприятностей. Вы считаете, что это так? На самом деле так и есть?

Чжоу Яцзинь: Ваш вопрос очень хороший. На самом деле, вопрос безопасности, особенно связанный с шифрованием, по своей сути является несимметричной конфронтацией. Если в вашем кошельке достаточно активов, вы очень легко можете стать целью направленной атаки. И как только вы становитесь целью для других, они будут использовать множество ресурсов, будь то социальные или технические, или другие ресурсы, чтобы разработать методы атаки на основе ваших повседневных действий, привычек и т.д. В такой ситуации нельзя сказать, что это 100%, но ваша способность к защите будет очень сложной, потому что против вас применяется множество ресурсов, а у вас есть только вы сами. Таким образом, это очень несимметричная конфронтация. В этой ситуации я считаю, что основным принципом является то, что у нас в Китае есть поговорка: «не показывай свое богатство», то есть вам не следует раскрывать свои активы, нужно избегать утечки информации о связи между вашей личной оффлайн-идентичностью и идентичностью активов в блокчейне. Второй момент: даже если вы являетесь клиентом с высоким доходом, возможно, ваши данные уже были раскрыты, поэтому вам нужно максимально изолировать свои активы. То есть в вашем обычном кошельке с активами, которыми вы пользуетесь в повседневной жизни, должно быть не более 100 000 юаней, и если кто-то направит атаку на вас, они смогут украсть только эти 100 000 юаней. А ваши другие значительные активы должны храниться в кошельке, который вы обычно не используете. Если вам нужно использовать эти активы, вам нужно обратиться к специалистам по безопасности, чтобы вместе пересмотреть более безопасные процессы и стандарты операций, таким образом, можно избежать значительных рисков.

Три самых запоминающихся инцидента безопасности

Алекс: Понял, это предложение действительно очень важно. Можете ли вы поделиться с нами тремя наиболее запоминающимися инцидентами безопасности за время вашей работы? Это могут быть события, которые вы сами пережили, или случаи, о которых рассказывали ваши друзья или которые вы слышали.

Жоу Яцзин: Я могу поделиться с вами некоторыми из тех инцидентов безопасности, в которых мы действительно участвовали и которые произвели на меня довольно сильное впечатление. Первый пример, который я помню, произошел в середине февраля 2023 года, когда на блокчейне был атакован один из протоколов. Это была платформа, которая сочетала в себе кредитование и другие функции. У этого протокола была уязвимость безопасности, и хакеры воспользовались этой уязвимостью, примерно