Experto en seguridad de la cadena de bloques Zhou Yajin: Estrategias clave para la protección de activos encriptados y tendencias en el desarrollo de la industria

Presentador: Alex, inversionista profesional

Invitado: Zhou Yajin, CEO de la empresa de seguridad de cadena de bloques BlockSec

Tiempo de grabación: 2025.3.28

El ámbito de servicios y los clientes objetivo de BlockSec

**Alex：**En este episodio, vamos a hablar de un tema que nos afecta a todos, que es la seguridad en el mundo de la encriptación. Antes de enfrentar verdaderos riesgos, a menudo pensamos que no seremos víctimas de incidentes de seguridad en las noticias. Cómo construir un cortafuegos para nuestros activos y permitirnos invertir en un entorno seguro es un tema esencial que debemos abordar antes de comenzar nuestro viaje en la encriptación. En este podcast, hemos invitado a Zhou Yajin de la empresa de seguridad de cadena de bloques BlockSec, para que hablemos sobre el tema de la seguridad en la encriptación. Profesor Zhou, por favor, salude a nuestros oyentes.

Zhou Yajin: Hola a todos, soy Zhou Yajin, actualmente soy el CEO de BlockSec, y también soy un investigador en seguridad del ciberespacio en la Universidad de Zhejiang, muy contento de conocer a todos.

**Alex：**Está bien, entremos en el tema de hoy. Creo que muchos de los oyentes pueden no estar tan familiarizados con las empresas de seguridad de la cadena de bloques y los servicios de seguridad. Profesor Zhou, por favor, preséntenos BlockSec, ¿cuáles son los servicios que ofrecen y qué tipo de personas o instituciones se convierten en sus clientes?

Zhou Yajin: BlockSec es una empresa de seguridad Web3, fundada en 2021. Cuando se habla de la seguridad de Web3, lo primero que puede venir a la mente es la auditoría de seguridad. De hecho, el alcance de los servicios de BlockSec no se limita solo a la auditoría de seguridad, también ofrecemos una serie de otros productos y servicios de seguridad. En concreto, los servicios se pueden dividir en tres grandes áreas. La primera área la llamamos seguridad para protocolos en cadena. Los protocolos en cadena son los contratos inteligentes que se implementan en la cadena de bloques para realizar algunas actividades de DeFi o NFT, entre otras. ¿Cómo se puede garantizar la seguridad de estos contratos? BlockSec proporciona servicios de auditoría de seguridad y productos de monitoreo de seguridad. La segunda área en la que nos enfocamos es la seguridad de los activos. La seguridad de los activos se refiere a los activos que los usuarios poseen, por ejemplo, estos activos pueden estar en su billetera de contrato o invertidos en algunos protocolos en la cadena. Cómo garantizar la seguridad de estos activos de los usuarios también es uno de nuestros servicios. La tercera área es la conformidad y regulación. Nos hemos dado cuenta de que cada vez más instituciones financieras tradicionales están ingresando al sector de Crypto. Incluyendo las noticias recientes, los bancos tradicionales en EE. UU. están emitiendo activos de stablecoin en la cadena, y Crypto está ingresando al sector de pagos transfronterizos. De hecho, la entrada de estas instituciones financieras tradicionales en el sector plantea un desafío para la regulación, ya que las agencias reguladoras no saben cómo regular, y estas instituciones no saben cómo cumplir con la regulación. Por lo tanto, también estamos ayudando a las agencias reguladoras a supervisar a los jugadores que ingresan al sector de Crypto, o ayudando a estas instituciones tradicionales a cumplir con las regulaciones al ingresar al sector de Crypto. Estas son tres áreas de nuestro negocio.

Nuestro rango de clientes es bastante amplio. Lo que todos pueden imaginar son los proyectos que hacen finanzas descentralizadas en la cadena o algunos otros servicios, como las plataformas que ofrecen Lending en la cadena, que proporcionan plataformas de intercambio descentralizado; estos proyectos son nuestros clientes. Podemos ayudarles a realizar auditorías de seguridad antes de que desplieguen sus contratos inteligentes en la cadena, revisando desde una perspectiva de seguridad si sus contratos inteligentes desarrollados tienen vulnerabilidades de seguridad. Si hay vulnerabilidades de seguridad, deben ser reparadas a tiempo. Al mismo tiempo, cuando su protocolo se despliega en la cadena, también tendremos una plataforma de monitoreo 7×24 horas para supervisar los riesgos de seguridad de su protocolo. Si ocurre algún riesgo de seguridad, nuestra plataforma puede notificar al protocolo y puede automatizar la interrupción de riesgos y ataques. Así que estos desarrolladores y proyectos que despliegan contratos inteligentes en la cadena son un tipo de cliente típico para nosotros. El segundo tipo de cliente típico son las personas que poseen activos, que pueden ser algunos clientes de alto patrimonio; ellos tienen algunos activos en billeteras de contrato, o estos clientes de alto patrimonio invierten en algunos protocolos en la cadena. Nuestros servicios y productos pueden ayudarles a monitorear mejor la seguridad de los protocolos en los que invierten. Al igual que la cara y la cruz de una moneda, desde la perspectiva de los proyectos de protocolo, podemos ayudarles a mejorar la seguridad del protocolo. Desde la perspectiva de los clientes de alto patrimonio que invierten en sus protocolos, podemos ayudarles a monitorear la seguridad del protocolo en el que invierten. Una vez que el protocolo en el que invierte tiene un riesgo de seguridad, como un ataque, necesita poder retirar su dinero de inmediato. El tercer tipo de cliente es el que acabo de mencionar, regulación y cumplimiento; este tipo de clientes son principalmente algunas agencias reguladoras, como la Comisión de Valores de Hong Kong, que también es nuestro cliente, así como algunas agencias de aplicación de la ley en el extranjero; cuando necesitan investigar delitos relacionados con criptomonedas, necesitan usar nuestras herramientas y plataformas para facilitar actividades de investigación como la extracción de pruebas y el rastreo de fondos, etc. Esto es básicamente nuestra gama de negocios y nuestros clientes.

Sobre la encriptación segura: tres consejos

**Alex：**Entiendo, justo ahora el profesor Zhou habló sobre los tipos de clientes, qué tipo de necesidades tienen y una descripción general de la situación de la industria. Entonces, la segunda pregunta puede estar más relacionada con los inversores individuales, especialmente porque muchos de nuestros oyentes son personas que recién están comenzando a entrar en Web3 para aprender y probar inversiones. Si tiene un amigo que acaba de entrar en el campo de la encriptación, y él sabe que usted ofrece servicios de seguridad en encriptación, ¿cuáles serían los tres consejos que le daría sobre la seguridad en encriptación?

Zhou Yajin: Esta es una muy buena pregunta. Mis amigos a menudo me preguntan por algunos consejos de seguridad, ya que también desean entrar en esta industria, pero han oído que parece que muchas personas encuentran ciertos riesgos. Solíamos tener una broma: si después de entrar en el círculo de Crypto no has sido víctima de phishing ni has sido estafado, no te convertirás en un jugador experimentado en este campo. Por supuesto, esto es una broma, pero efectivamente puedes descubrir que existen muchos riesgos en esta industria. Si tuviera que dar tres consejos, el primer consejo que todos pensarían es sobre la protección de la clave privada. En el campo de Crypto, la forma de demostrar que posees esos fondos es utilizando la clave privada que posees para demostrar tu propiedad de esa cuenta. La clave privada es una serie de números, y no está ligada de ninguna manera a tu identidad personal. Una vez que esta serie de números se pierde o se filtra, otros pueden tener el mismo control sobre tus fondos que tú. Esto es muy diferente de nuestro mundo real. En el mundo real, si tu contraseña bancaria se filtra, puedes llamar al banco y solicitar que congelen tu cuenta, y otros no pueden retirar dinero. Pero en el mundo de Crypto, si tu clave privada se filtra, quien posea tu clave privada podrá transferir tus fondos de tu cuenta sin restricciones. Generalmente, hay varias formas de proteger la clave privada, como usar una billetera hardware, una billetera de contrato o una APP en el móvil para proteger la clave privada. Cada método tiene sus propias ventajas y desventajas. Según mi experiencia y la experiencia colectiva de algunos amigos de seguridad que nos rodean, el principio básico es tener la frase de recuperación de la clave privada, anotarla y guardarla en una caja fuerte, ya sea en tu casa o en el banco, y mantenerla a salvo, sin moverla, ya que en general no la necesitarás. Luego, usa un dispositivo que consideres relativamente confiable, ya sea una billetera hardware o un móvil, para almacenar tu clave privada. Este móvil debe ser un dispositivo dedicado, no debes realizar ninguna otra actividad, solo debe ser utilizado para gestionar tus activos digitales. Este es el primer consejo. El segundo consejo es que cuando realices transacciones en la cadena, debes tener conciencia de seguridad y riesgos. Básicamente, solo necesitas recordar una frase: del cielo no caen empanadas. Nos hemos dado cuenta de que en las transacciones en la cadena, los usuarios enfrentan un riesgo muy grande de phishing. Muchos KOL y OG que conocemos en el círculo de criptomonedas también han sido víctimas de ataques de phishing y han perdido muchos fondos. Si un sitio desconocido te pide que conectes tu billetera para obtener supuestas recompensas de airdrop, debes tener mucho cuidado y siempre tener conciencia de seguridad. El tercer consejo es que necesitas conocer un poco sobre los conocimientos básicos de los activos criptográficos. Los conocimientos básicos se refieren a que en los activos criptográficos, generalmente tenemos el concepto de autorización. Esto es diferente de la financiación tradicional. Por ejemplo, si posees un tipo de activo digital, como USDT o USDC, a través de una firma en la cadena, puedes autorizar que un contrato u otro usuario use esos activos, y tal autorización solo requiere que firmes una serie de cosas extrañas que no entiendes desde tu billetera. Así que cuando firmes la firma de la billetera, si no lo entiendes o eres engañado, y firmas una transacción de autorización, entonces otros podrán acceder a todos tus activos digitales. Por lo tanto, debes tener un entendimiento básico de la autorización, para que no firmes erróneamente transacciones de autorización. En resumen, los consejos básicos son: el primero es proteger bien tu clave privada, proporcionando algunos métodos prácticos; el segundo es estar siempre alerta al realizar transacciones en la cadena, tener conciencia de seguridad para no ser víctima de phishing; el tercero es tener un entendimiento básico del mecanismo de autorización de Crypto, para que no firmes erróneamente transacciones de autorización.

Alex: En realidad, tengo bastante amigos de alto patrimonio a mi alrededor, que también son OG o veteranos en la industria. Por lo tanto, se podría decir que tienen cierto nivel de conciencia sobre la seguridad que usted mencionó, pero cada año escucho sobre algunos grandes inversores que han sido robados. Hay un dicho en la industria que dice que si un hacker profesional se fija en ti y sabe que tu billetera tiene dinero, si utiliza todos los recursos disponibles, a menudo es muy difícil de escapar. ¿Cree usted que este dicho tiene sentido? ¿Es realmente así?

Zhou Yajing: Tu pregunta es muy buena. De hecho, el problema de la seguridad, especialmente en lo que respecta a la seguridad de la encriptación, es esencialmente un enfrentamiento desequilibrado. Si tu billetera tiene suficientes activos, es muy fácil convertirte en un objetivo de ataques dirigidos. Y una vez que te conviertes en un objetivo de ataques dirigidos, los atacantes utilizarán muchos recursos, ya sean recursos de ingeniería social, recursos técnicos u otros, para diseñar métodos de ataque específicos basados en tus patrones de comportamiento diario, hábitos de vida, etc. En esta situación, no se puede decir que sea un cien por ciento, pero la dificultad de defensa es muy alta, porque los atacantes han movilizado muchos recursos en tu contra, mientras que tú solo cuentas contigo mismo. Así que es un enfrentamiento muy asimétrico. En esta situación, creo que el principio básico, el primero, es que tenemos un dicho en China que dice que "la riqueza no debe ser expuesta", lo que significa que no debes hacer públicos tus activos, y debes evitar revelar la relación entre tu identidad personal fuera de línea y tu identidad de activos en la cadena. El segundo punto es que, incluso si eres un usuario de alto valor neto y es posible que ya se hayan filtrado tus datos, necesitas hacer todo lo posible para aislar tus activos. Es decir, los activos que operas a diario, en tu billetera dedicada, deberían ser como máximo 100,000. Si alguien te ataca, solo podrán robarte esos 100,000. Mientras que tus otros activos significativos deberían almacenarse en una billetera que, en general, no necesites usar. Si necesitas acceder a esos activos, debes buscar la ayuda de un experto en seguridad para revisar un conjunto de procesos y normas de operación que sean adecuados, de esta manera podrás evitar riesgos significativos.

Los tres eventos de seguridad que más me impresionaron

**Alex：**Entendido, este consejo es realmente muy importante. ¿Podría compartir con nosotros los tres incidentes de seguridad más memorables que ha tenido en su carrera? Pueden ser experiencias personales, o algo que le haya contado un amigo, o algunas observaciones que haya hecho.

Zhou Yajing: Puedo compartir con todos ustedes un incidente de seguridad en el que realmente participamos y que nos dejó una impresión profunda. El primer ejemplo que recuerdo fue alrededor del 10 de febrero de 2023, cuando un protocolo en la cadena fue atacado. Era una plataforma de préstamos con otras funciones. Este protocolo tenía una vulnerabilidad de seguridad, y los hackers aprovecharon esta vulnerabilidad para robar aproximadamente.