Expert en sécurité Blockchain Zhou Yajin : Stratégies clés pour la protection des actifs chiffrés et tendances de développement de l'industrie

Animateur : Alex, investisseur professionnel

Invité : Zhou Yajin, PDG de la société de sécurité Blockchain BlockSec

Temps d'enregistrement : 2025.3.28

Les services et la clientèle cible de BlockSec

Alex : Dans cet épisode, nous allons aborder un sujet qui concerne chacun d'entre vous, à savoir la sécurité dans le monde du chiffrement. Avant de faire face à de véritables risques, nous avons souvent l'impression de ne pas devenir victime d'un événement de sécurité rapporté dans les nouvelles. Comment construire un pare-feu pour protéger ses actifs et investir dans un environnement sécurisé est une question essentielle que nous devons traiter avant de commencer notre voyage dans le chiffrement. Dans ce podcast, nous avons invité Zhou Yajing de la société de sécurité Blockchain BlockSec pour discuter de ce sujet de la sécurité du chiffrement. Professeur Zhou, pourriez-vous nous dire bonjour ?

Zhou Yajing : Bonjour à tous, je suis Zhou Yajing, actuellement CEO chez BlockSec, et je suis également chercheur en sécurité de l'espace cyberspatial à l'Université de Zhejiang. Je suis très heureux de vous rencontrer.

Alex : D'accord, entrons dans le vif du sujet d'aujourd'hui. Je crois que beaucoup d'auditeurs ne connaissent peut-être pas très bien les entreprises de sécurité Blockchain et les services de sécurité. Pourriez-vous, professeur Zhou, nous présenter BlockSec, quels types de services vous proposez, et quel genre de personnes ou d'institutions deviendraient vos clients ?

Zhou Yajing : BlockSec est une entreprise de sécurité Web3, fondée en 2021. Quand on parle de la sécurité de Web3, la première chose qui vient à l'esprit est probablement l'audit de sécurité. En réalité, le champ d'activité de BlockSec ne se limite pas à l'audit de sécurité, nous proposons également une gamme d'autres produits et services de sécurité. Plus précisément, nos services peuvent être divisés en trois grands volets. Le premier volet est ce que nous appelons la sécurité des protocoles on-chain. Les protocoles on-chain sont des contrats intelligents déployés sur la Blockchain pour effectuer certaines activités DeFi ou NFT, entre autres. Comment garantir la sécurité de ces contrats ? BlockSec fournit donc des services d'audit de sécurité et des produits de surveillance sécurisée. Le deuxième aspect sur lequel nous nous concentrons est la sécurité des actifs. La sécurité des actifs fait référence aux actifs que les utilisateurs détiennent, par exemple, ces actifs peuvent être dans leur portefeuille de contrats ou investis dans certains protocoles sur la chaîne, comment garantir la sécurité de ces actifs des utilisateurs est également l'un de nos services. Le troisième aspect concerne la conformité et la réglementation. Nous constatons de plus en plus d'institutions financières traditionnelles entrant dans l'industrie Crypto. Y compris, comme nous pouvons le voir dans les actualités récentes, ces banques traditionnelles américaines émettent des actifs de stablecoin sur la chaîne, et le Crypto entre dans le secteur des paiements transfrontaliers. En réalité, l'entrée de ces institutions financières traditionnelles dans ce secteur a posé un problème aux régulateurs, qui ne savent pas comment réguler, et ces institutions ne savent pas comment se conformer. Ainsi, nous aidons également les régulateurs à surveiller les acteurs entrant dans l'industrie Crypto, ou à aider ces institutions traditionnelles entrant dans l'industrie Crypto à se conformer. Voici les trois domaines de notre activité.

Notre clientèle est assez variée. On peut penser aux projets qui font de la finance décentralisée en chaîne ou à d'autres types de services, comme les plateformes de Lending en chaîne ou les plateformes d'échange décentralisées. Ces projets sont nos clients. Nous pouvons les aider à effectuer des audits de sécurité avant que leurs contrats intelligents ne soient déployés en chaîne, en examinant sous un angle de sécurité si leurs contrats intelligents développés présentent des vulnérabilités de sécurité. Si des vulnérabilités de sécurité sont détectées, elles doivent être corrigées rapidement. De plus, lorsque leurs protocoles sont déployés sur la chaîne, nous avons également une plateforme de surveillance 7×24 heures pour surveiller les risques de sécurité de leurs protocoles. En cas de risque de sécurité, notre plateforme peut notifier rapidement le protocole et peut automatiquement bloquer les risques et les attaques. Ainsi, les développeurs et les projets qui déploient des contrats intelligents sur la chaîne constituent une catégorie typique de clients. La deuxième catégorie typique de clients est composée de personnes possédant des actifs, comme certains clients à haute valeur nette, qui détiennent des actifs dans des portefeuilles de contrats ou qui investissent dans certains protocoles en chaîne. Nos services et produits peuvent les aider à mieux surveiller la sécurité des protocoles dans lesquels ils investissent. Comme le côté face et le côté pile d'une pièce, du point de vue des projets de protocoles, nous pouvons les aider à améliorer la sécurité de leurs protocoles. Du point de vue des clients à haute valeur nette qui investissent dans leurs protocoles, nous pouvons les aider à surveiller la sécurité des protocoles dans lesquels ils investissent. Dès qu'un protocole dans lequel il a investi présente un risque de sécurité, comme par exemple une attaque, il doit pouvoir retirer ses fonds immédiatement. La troisième catégorie de clients est celle dont j'ai parlé précédemment, à savoir la réglementation et la conformité. Cette catégorie de clients est principalement constituée d'organismes de réglementation, comme la Commission des valeurs mobilières de Hong Kong, qui est également notre cliente, ainsi que certaines autorités judiciaires à l'étranger, qui ont besoin de notre outil et de notre plateforme pour enquêter sur les crimes liés aux monnaies numériques, facilitant ainsi des activités d'extraction de preuves, de traçabilité des fonds, etc. C'est essentiellement notre activité globale ainsi que le champ d'action de notre clientèle.

Trois conseils sur la sécurité du chiffrement

Alex : Je comprends, tout à l'heure, M. Zhou a parlé des types de clients, de leurs besoins et d'une situation générale du secteur. Alors, la deuxième question est peut-être plus en lien avec les investisseurs individuels, surtout que beaucoup de nos auditeurs commencent à peine à entrer dans le Web3 pour apprendre et essayer d'investir. Si vous avez un ami qui vient juste d'entrer dans le domaine de l'investissement en chiffrement et qui sait que vous offrez des services de sécurité en chiffrement, quels seraient les trois conseils que vous lui donneriez sur la sécurité en chiffrement ?

Zhou Yajin : Cette question est très bonne. Mes amis me posent souvent des questions sur la sécurité, ils veulent également entrer dans ce secteur, mais ils entendent dire qu'il semble que beaucoup de gens rencontrent des risques. Nous avions une blague : si vous entrez dans le cercle Crypto et que vous n'avez pas été victime de phishing ou de fraude, vous ne deviendrez pas un joueur expérimenté dans ce domaine. Bien sûr, c'est une blague, mais on peut effectivement constater qu'il y a beaucoup de risques dans ce secteur. Si je devais donner trois conseils, le premier serait celui auquel tout le monde pense, à savoir la protection des clés privées. Dans le domaine Crypto, la façon de prouver que vous possédez ces fonds est en fait d'utiliser votre clé privée pour prouver votre propriété de ce compte. La clé privée est une série de chiffres, qui n'est en aucun cas liée à votre identité personnelle. Une fois que cette série de chiffres est perdue ou divulguée, d'autres peuvent avoir le même contrôle sur vos fonds que vous. Cela diffère énormément de notre monde réel. Dans le monde réel, si votre mot de passe bancaire est divulgué, vous pouvez appeler la banque pour demander de geler le compte, et personne ne peut retirer de l'argent. Mais dans le monde Crypto, si votre clé privée est divulguée, alors la personne qui possède votre clé privée peut transférer vos fonds de votre compte sans aucune restriction. En général, il existe plusieurs façons de protéger les clés privées, par exemple, nous avons des portefeuilles matériels, des portefeuilles de contrats ou des applications mobiles pour protéger les clés privées. Chaque méthode a en fait ses propres avantages et inconvénients. D'après ma propre expérience et l'expérience globale de quelques amis de sécurité autour de nous, le principe de base est de prendre les mots de passe de la clé privée, de les noter et de les mettre dans un coffre-fort, que ce coffre-fort soit chez vous ou à la banque, de bien les conserver, et de ne pas y toucher normalement, car vous n'en aurez pas vraiment besoin. Ensuite, utilisez un appareil relativement fiable, que ce soit un portefeuille matériel ou un téléphone, pour bien stocker votre clé privée. Ce téléphone doit être un appareil dédié, ne pas être utilisé pour d'autres activités, juste pour gérer vos actifs numériques. C'est le premier conseil. Le deuxième conseil est d'avoir toujours conscience de la sécurité et des risques lors des transactions sur la chaîne. En gros, il suffit de se rappeler une phrase : il n'y a pas de repas gratuit. Nous constatons qu'il y a un grand risque de phishing lorsque les utilisateurs effectuent des transactions sur la chaîne. De nombreux KOL et OG bien connus dans le cercle crypto ont également été victimes d'attaques de phishing et ont perdu beaucoup de fonds. Si un site web inconnu vous demande de connecter votre portefeuille pour obtenir ce qu'on appelle des récompenses d'airdrop, vous devez être très prudent et avoir conscience de la sécurité. Le troisième conseil est que vous devez avoir une connaissance de base des actifs cryptographiques. La connaissance de base fait référence au fait qu'il y a généralement un concept d'autorisation dans les actifs cryptographiques. C'est quelque chose de différent de la finance traditionnelle. Par exemple, si vous possédez un type d'actif numérique, USDT ou USDC, grâce à une signature sur la chaîne, vous pouvez autoriser un contrat ou d'autres utilisateurs à utiliser cet actif, et cette autorisation n'a besoin d'être réalisée que par la signature de votre portefeuille sur une série de choses étranges que vous ne comprenez pas. Donc, lorsque vous signez une signature de portefeuille, si vous ne comprenez pas bien ou si vous êtes trompé et que vous signez une transaction d'autorisation, alors d'autres peuvent utiliser tous vos actifs numériques. Vous devez donc avoir une compréhension de base de l'autorisation afin de ne pas signer à tort ce type de transaction. En résumé, les conseils sont donc : le premier est de protéger vos clés privées, avec quelques méthodes pratiques ; le deuxième est d'être toujours prudent lors des transactions sur la chaîne, d'avoir une conscience de la sécurité pour ne pas être victime de phishing ; le troisième est d'avoir une compréhension de base du mécanisme d'autorisation en Crypto, afin de ne pas signer à tort des transactions d'autorisation.

Alex : En fait, j'ai pas mal d'amis à haute valeur nette autour de moi, qui sont aussi des OG ou des vétérans dans l'industrie. Normalement, en ce qui concerne la sensibilisation à la sécurité que vous avez mentionnée, ils en ont un peu, mais chaque année, j'entends parler de certaines grosses fortunes qui se font voler. Il y a une expression dans l'industrie qui dit que si un hacker professionnel s'intéresse à vous, il sait que votre portefeuille est bien garni, et s'il utilise toutes les ressources disponibles, il est souvent très difficile d'échapper à cela. Pensez-vous que cela a du sens ? Est-ce vraiment le cas ?

Zhou Yajin : Votre question est très bonne. En réalité, les problèmes de sécurité, en particulier ceux liés à la sécurité du chiffrement, sont essentiellement une lutte déséquilibrée. Si votre portefeuille contient suffisamment d'actifs, vous devenez facilement une cible d'attaques ciblées. Une fois que vous êtes devenu une cible, les autres mobiliseront de nombreuses ressources, qu'il s'agisse de ressources sociales, techniques ou autres, pour concevoir des méthodes d'attaque basées sur vos comportements quotidiens et vos habitudes de vie. Dans cette situation, il ne faut pas dire que c'est à 100 %, mais la difficulté de votre défense est très élevée, car les autres mobilisent de nombreuses ressources contre vous, tandis que vous n'avez que vous-même. C'est donc une lutte très asymétrique. Dans cette situation, je pense que le principe de base est que nous, Chinois, avons une expression qui dit "ne montrez pas votre richesse", ce qui signifie que vous ne devez pas rendre publics vos actifs, et éviter de divulguer la relation entre votre identité personnelle hors ligne et votre identité d'actif en ligne. Deuxièmement, même si vous êtes un utilisateur à haute valeur nette, il se peut que vos informations aient déjà été divulguées, donc vous devez faire tout votre possible pour isoler vos actifs. Cela signifie que les actifs que vous utilisez dans vos opérations quotidiennes, dans un portefeuille dédié, ne devraient pas dépasser 100 000. Si quelqu'un vous cible, il ne pourra au maximum que vous voler ces 100 000. Vos autres actifs importants devraient être conservés dans un portefeuille que vous n'utilisez pas souvent. Si vous avez besoin d'utiliser ces actifs, vous devez demander à un expert en sécurité de vous aider à passer en revue un processus et des normes opérationnels adéquats, afin d'éviter des risques majeurs.

Les trois incidents de sécurité les plus marquants

Alex : Je comprends, cette suggestion est en effet très importante. Pourriez-vous nous partager les trois événements de sécurité qui vous ont le plus marqué depuis que vous travaillez dans ce domaine ? Cela peut être des expériences que vous avez vécues personnellement, ou bien des anecdotes de vos amis ou de ce que vous avez observé.

Zhou Yajin : Je peux partager avec vous un incident de sécurité auquel nous avons personnellement participé et qui m'a particulièrement marqué. Le premier exemple dont je me souviens est celui d'un protocole qui a été attaqué autour du 10 février 2023. C'est une plateforme qui combine des prêts et d'autres fonctionnalités. Ce protocole avait une vulnérabilité de sécurité, et les hackers ont exploité cette vulnérabilité pour voler.