Especialista em segurança de Blockchain Zhou Yajin: Estratégias chave para proteção de ativos encriptados e tendências de desenvolvimento da indústria

Moderador: Alex, investidor profissional

Convidado: Zhou Yajing, CEO da empresa de segurança Blockchain BlockSec

Data de gravação: 2025.3.28

O escopo de serviços da BlockSec e o cliente-alvo

Alex： Neste episódio, vamos falar sobre um tópico que está diretamente relacionado a todos vocês, que é a segurança no mundo da encriptação. Antes de enfrentarmos riscos reais, muitas vezes pensamos que não seremos vítimas de incidentes de segurança noticiados. Como construir um firewall para os nossos ativos e investir em um ambiente seguro é uma questão essencial que devemos abordar antes de começarmos nossa jornada na encriptação. Neste podcast, convidamos Zhou Yajin, da empresa de segurança em Blockchain BlockSec, para discutir conosco sobre segurança em encriptação. Professor Zhou, por favor, dê um cumprimento a todos nós.

Zhou Yajin: Olá a todos, eu sou Zhou Yajin, atualmente sou CEO da BlockSec e também sou pesquisador em segurança cibernética na Universidade de Zhejiang. Muito feliz em conhecer todos vocês.

**Alex：**Ok, vamos entrar no assunto de hoje. Eu acredito que muitos dos ouvintes podem não entender muito sobre empresas de segurança de Blockchain e serviços de segurança. Por favor, professor Zhou, comece a nos apresentar a BlockSec, quais são os serviços que vocês oferecem e que tipo de pessoas ou instituições se tornariam seus clientes.

Zhou Yajing: BlockSec é uma empresa de segurança Web3, fundada em 2021. Quando se fala sobre a segurança do Web3, o que vem à mente de todos é a auditoria de segurança. Na verdade, o escopo de negócios da BlockSec não se limita apenas à auditoria de segurança; também oferecemos uma série de outros produtos e serviços de segurança. Especificamente, os serviços podem ser divididos em três grandes áreas. A primeira área chamamos de segurança para protocolos on-chain. Protocolos on-chain referem-se a contratos inteligentes que são implantados na Blockchain para realizar algumas atividades de DeFi, NFT ou outras. Como garantir a segurança desses contratos? A BlockSec oferece serviços de auditoria de segurança e produtos de monitoramento seguro. A segunda área em que estamos mais focados é a segurança dos ativos. A segurança dos ativos refere-se aos ativos que os usuários possuem, como aqueles que estão em suas carteiras de contratos ou investidos em alguns protocolos on-chain; como garantir a segurança desses ativos dos usuários também está dentro do nosso escopo de serviços. A terceira área é a conformidade e regulamentação. Notamos que cada vez mais instituições financeiras tradicionais estão entrando na indústria de Crypto. Incluindo a recente notícia de que bancos tradicionais nos EUA estão emitindo ativos de stablecoin on-chain, e a Crypto está entrando na indústria de pagamentos transfronteiriços. Na verdade, a entrada dessas instituições financeiras tradicionais neste setor traz um desafio para a regulamentação, pois os órgãos reguladores não sabem como regular, e essas instituições não sabem como estar em conformidade. Portanto, também estamos ajudando os órgãos reguladores a supervisionar esses participantes que entram na indústria de Crypto, ou ajudando essas instituições tradicionais a se conformar ao entrar na indústria de Crypto. Estas são as três áreas do nosso negócio.

Os nossos clientes abrangem uma gama bastante ampla. O que todos conseguem imaginar são os projetos que realizam finanças descentralizadas na blockchain ou outros tipos de serviços, por exemplo, plataformas que oferecem Lending na blockchain, plataformas que fornecem troca descentralizada; esses projetos são nossos clientes. Podemos ajudá-los a realizar auditorias de segurança antes da implementação de contratos inteligentes na blockchain, revisando sob a perspectiva da segurança se os contratos inteligentes que desenvolveram possuem vulnerabilidades. Se houver vulnerabilidades, é necessário corrigir prontamente. Ao mesmo tempo, quando os seus protocolos são implementados na blockchain, teremos uma plataforma de monitoramento 7×24 horas para monitorar os riscos de segurança dos seus protocolos. Se ocorrer qualquer risco de segurança, nossa plataforma pode notificar prontamente o protocolo e pode automaticamente bloquear riscos e ataques. Portanto, os desenvolvedores e projetos que implementam contratos inteligentes na blockchain são um tipo de cliente típico para nós. O segundo tipo de clientes típicos são os possuidores de ativos, que podem ser alguns clientes de alto patrimônio líquido que possuem ativos em carteiras de contratos, ou esses clientes de alto patrimônio líquido que investem em alguns protocolos na blockchain. Nossos serviços e produtos podem ajudá-los a monitorar melhor a segurança dos protocolos nos quais investiram. Assim como o lado positivo e negativo de uma moeda, do ponto de vista dos projetos de protocolo, podemos ajudá-los a aumentar a segurança dos seus protocolos. Do ponto de vista dos clientes de alto patrimônio que investem nos seus protocolos, podemos ajudá-los a monitorar a segurança dos protocolos em que investiram. Assim que um protocolo que ele investiu apresentar risco de segurança, por exemplo, se for atacado, ele precisa retirar os seus fundos imediatamente. O terceiro tipo de clientes é aquele que mencionei antes, relacionado à supervisão e conformidade; esse tipo de cliente consiste principalmente em algumas instituições regulatórias, por exemplo, a Comissão de Valores Mobiliários de Hong Kong, que também é nosso cliente, além de algumas agências de aplicação da lei no exterior, que precisam investigar crimes relacionados a criptomoedas; eles necessitam de nossas ferramentas e plataformas para facilitar a extração de provas, rastreamento de fundos e outras atividades de investigação. Essa é basicamente a nossa gama de negócios e o escopo dos nossos clientes.

Sobre a segurança da encriptação: três recomendações

**Alex：**Entendido, o Professor Zhou acabou de falar sobre os tipos de clientes, quais são suas necessidades e uma visão geral da situação do setor. Então, a segunda pergunta pode estar mais relacionada a investidores individuais, especialmente porque muitos dos nossos ouvintes estão começando a entrar no Web3 para aprender e tentar investir. Se você tiver um amigo que acabou de entrar no campo de investimento em encriptação e sabe que você oferece serviços de segurança em encriptação, quais seriam os três conselhos que você daria a ele sobre segurança em encriptação?

Zhou Yajing: Esta questão é muito boa. Os amigos ao meu redor também costumam me perguntar algumas recomendações de segurança, eles também querem entrar neste setor, mas ouviram que muitas pessoas parecem enfrentar alguns riscos. Costumávamos ter uma piada: se você entrar no círculo Crypto e não for pescado, nem for enganado, você não se tornará um jogador experiente neste campo. Claro, isso é uma piada, mas você realmente pode perceber que existem muitos riscos neste setor. Se eu tivesse que dar três recomendações, a primeira sugestão é algo que todo mundo certamente pensaria, que é sobre a proteção da chave privada. No campo Crypto, como você prova que possui esses fundos, na verdade, é usando a chave privada que você possui para provar a propriedade dessa conta. A chave privada é uma sequência de números, que também não está vinculada à sua identidade pessoal. Uma vez que essa sequência de números se perca ou vaze, outra pessoa poderá ter o mesmo controle sobre os seus fundos que você. Isso é muito diferente do nosso mundo real. No mundo real, se sua senha bancária vazar, você pode ligar para o banco e solicitar o congelamento da conta, e ninguém poderá retirar dinheiro. Mas no mundo Crypto, se sua chave privada vazar, quem a possui poderá transferir seus fundos da sua conta sem restrições. Geralmente, existem algumas maneiras de proteger a chave privada, como usar uma carteira de hardware, uma carteira de contrato ou um aplicativo no celular para proteger a chave privada. Cada método tem suas próprias vantagens e desvantagens. Com base na minha experiência e na experiência coletiva de alguns amigos de segurança ao nosso redor, o princípio básico é anotar a frase de recuperação da chave privada e guardá-la em um cofre, seja o cofre da sua casa ou do banco, armazene-a bem, e não a mova, na maioria das vezes você não precisará dela. Em seguida, use um dispositivo em que você confie relativamente, seja uma carteira de hardware ou um celular, para armazenar sua chave privada. Esse celular deve ser um dispositivo dedicado, não deve ser usado para realizar qualquer outra operação, apenas para gerenciar seus ativos digitais. Essa é a primeira sugestão. A segunda sugestão é que, ao realizar transações na blockchain, você deve ter uma consciência de segurança e risco. Basicamente, você só precisa lembrar de uma frase: não existem almoços grátis. Nós descobrimos que, ao realizar transações na blockchain, os usuários enfrentam um risco muito grande de phishing. Muitos KOLs e OGs bem conhecidos no círculo crypto também enfrentaram ataques de phishing, perdendo muitos fundos. Se um site desconhecido solicitar que você conecte sua carteira para obter supostas recompensas de airdrop, você precisa ser extremamente cauteloso e estar ciente da segurança. A terceira sugestão é que você precisa entender um pouco sobre os conhecimentos básicos de ativos criptográficos. Conhecimentos básicos referem-se ao conceito de autorização que temos nos ativos criptográficos. Isso é diferente do que acontece nas finanças tradicionais. Por exemplo, se você possui um determinado tipo de ativo digital, como USDT ou USDC, através de uma assinatura na blockchain, você pode autorizar um contrato ou outro usuário a usar os ativos, e essa autorização só precisa ser assinada pela sua carteira, assinando uma série de coisas estranhas que você não entende. Portanto, ao assinar a assinatura da carteira, se você não entender bem ou for enganado e assinar a transação de autorização, então, outros poderão usar todos os seus ativos digitais. Portanto, você deve entender um pouco sobre essa questão de autorização para não assinar erroneamente esse tipo de transação. Resumindo, as recomendações básicas são: a primeira é proteger bem sua chave privada, fornecendo alguns métodos operacionais; a segunda é estar sempre atento ao realizar transações na blockchain, ter consciência da segurança para não ser pescado; a terceira é ter um entendimento básico do mecanismo de autorização do Crypto, para que você não assine erroneamente transações de autorização.

**Alex：**Na verdade, tenho muitos amigos de alto patrimônio ao meu redor, que também são OGs ou veteranos na indústria. Em teoria, eles têm alguma consciência de segurança sobre o que você mencionou, mas todo ano ouço falar de grandes investidores sendo roubados. Há um ditado na indústria que diz que, se um hacker profissional se fixar em você, e ele souber que sua carteira tem dinheiro, se ele mobilizar todos os recursos disponíveis, é muitas vezes difícil escapar. Você acha que isso faz sentido? É realmente assim?

Zhou Yajin: A sua pergunta é muito boa. Na verdade, a questão da segurança, especialmente no que diz respeito à segurança da Crypto, é essencialmente um confronto assimétrico. Se a sua carteira contém um número suficiente de ativos, você se torna um alvo fácil para ataques direcionados. Uma vez que você se torna um alvo de ataque, os atacantes usarão muitos recursos, sejam eles recursos de engenharia social, recursos técnicos ou outros, para projetar métodos de ataque direcionados com base nos padrões de comportamento diário e nos hábitos de vida do alvo. Nessa situação, não posso dizer que é 100%, mas a dificuldade de defesa é muito alta, pois os atacantes estão usando muitos recursos contra você, enquanto você tem apenas a si mesmo. Portanto, é um confronto muito assimétrico. Nessa situação, eu acho que o princípio básico, o primeiro, é que temos um ditado na China que diz que a riqueza não deve ser exibida, ou seja, você não deve tornar públicos os ativos que possui e deve evitar expor a relação entre sua identidade offline e sua identidade de ativos em blockchain. O segundo ponto é que, mesmo que você seja um usuário de alto patrimônio líquido, que pode já ter sido exposto por outros, você deve fazer o possível para isolar seus ativos. Ou seja, os ativos que você opera normalmente, na carteira dedicada, devem ter no máximo 100 mil, para que, se alguém o atacar, a pessoa só consiga roubar esses 100 mil. E seus outros ativos significativos devem estar em uma carteira que você normalmente não precisa acessar. Se precisar usar esses ativos, procure um especialista em segurança para ajudá-lo a revisar um conjunto de processos e normas operacionais adequados, dessa forma você poderá evitar riscos significativos.

Os três incidentes de segurança mais marcantes

Alex: Entendido, essa sugestão é realmente muito importante. Você poderia nos compartilhar três eventos de segurança que mais o impressionaram desde que começou na área? Podem ser experiências que você viveu pessoalmente, ou algo que aconteceu com amigos ou algumas coisas que você ouviu.

Zhou Yajing: Posso compartilhar com todos vocês um evento de segurança em que participamos pessoalmente e que teve um impacto significativo. O primeiro exemplo que me lembro foi em torno do dia 10 de fevereiro de 2023, quando um protocolo na blockchain foi atacado. Era uma plataforma de empréstimo com outras funcionalidades. Esse protocolo tinha uma vulnerabilidade de segurança, e os hackers exploraram essa falha para roubar aproximadamente.