Блокчейн безпеки експерт Жоу Яцзин: ключові стратегії захисту шифрованих активів та тенденції розвитку галузі

Ведучий: Алекс, професійний інвестор

Гість: Чжоу Яцзин, CEO компанії з безпеки Блокчейн BlockSec

Час запису: 2025.3.28

Послуги BlockSec та цільова аудиторія

Алекс: У цьому випуску ми поговоримо про тему, яка стосується кожного з вас, а саме про безпеку в світі шифрування. Часто ми вважаємо, що не станемо жертвами безпекових інцидентів, поки не зіткнемося з реальними ризиками. Як побудувати для своїх активів стіну безпеки, щоб інвестувати в безпечному середовищі, є обов'язковою темою перед початком нашої подорожі у шифрування. У цьому подкасті ми запросили Zhou Yajin з компанії BlockSec, що займається безпекою Блокчейн, щоб поговорити з нами на тему безпеки шифрування. Будь ласка, поздоровте нас, вчителю Чжоу.

Чжоу Яцзинь: Всім привіт, я Чжоу Яцзинь, в даний час я є CEO в BlockSec, а також я є дослідником у сфері кібербезпеки в університеті Чжецзян, дуже радий познайомитися з усіма.

**Alex：**Добре, перейдемо до сьогоднішньої теми. Я вірю, що багато слухачів, можливо, не так добре розуміють компанії безпеки, пов'язані з Блокчейн, та послуги безпеки. Прошу вчителя Чжоу спочатку розповісти нам про BlockSec, які послуги ви надаєте, які люди та які установи можуть стати вашими клієнтами.

**周亚金：**BlockSec є компанією з безпеки Web3, яку ми заснували в 2021 році. Коли йдеться про безпеку Web3, перше, що спадає на думку, це безпековий аудит. Насправді, бізнес BlockSec не обмежується лише безпековим аудитом, ми також пропонуємо ряд інших безпекових продуктів та послуг. Конкретно, послуги можна розділити на три великі категорії. Перша категорія, яку ми називаємо безпекою для протоколів на ланцюгу. Протоколи на ланцюгу - це ті, що ми говоримо про впровадження на Блокчейн для виконання деяких DeFi або NFT, або інших дій через певні смарт-контракти. Як можна забезпечити безпеку цих контрактів? BlockSec надає послуги безпекового аудиту та продукти для безпекового моніторингу. Друга категорія, на яку ми звертаємо увагу, це безпека активів. Під безпекою активів ми маємо на увазі активи, які є у користувача, наприклад, ці активи знаходяться у власному гаманці контракту або інвестовані в деякі протоколи на ланцюгу, як можна забезпечити безпеку цих активів користувачів, це також одна з наших послуг. Третя категорія - це відповідність та регулювання. Ми помітили, що дедалі більше традиційних фінансових установ входять у Crypto-індустрію. Включаючи те, що ми нещодавно бачили в новинах, традиційні банки США випускають певні стабільні монети на ланцюгу, включаючи вхід Crypto в сферу міжнародних платежів. Насправді, ці традиційні фінансові установи, що входять до цієї сфери, створюють проблему для регулювання, оскільки регулятори не знають, як регулювати, а ці установи не знають, як відповідати вимогам. Тому ми також допомагаємо регуляторам регулювати учасників, які входять у Crypto-індустрію, або допомагаємо традиційним установам, які входять у Crypto-індустрію, дотримуватися вимог. Це три сфери нашого бізнесу.

Наші клієнти охоплюють досить широкий спектр. Всі можуть подумати про проекти, які займаються децентралізованими фінансами на Блокчейні або про інші подібні послуги, наприклад, платформи, які надають Lending на Блокчейні, платформи для децентралізованої торгівлі - ці проекти є нашими клієнтами. Ми можемо допомогти їм провести безпечний аудит ще до того, як вони розгорнуть свої смарт-контракти на Блокчейні, перевіривши їх розроблені смарт-контракти на наявність безпекових вразливостей з точки зору безпеки. Якщо є безпекові вразливості, їх потрібно оперативно виправити. Одночасно, коли їхні протоколи розгортаються на Блокчейні, у нас також буде платформа моніторингу 7×24 години для контролю за безпековими ризиками їхніх протоколів. Якщо виникнуть будь-які безпекові ризики, наша платформа може вчасно повідомити про це протоколу і автоматизовано блокувати ризики та атаки. Отже, розробники та проекти, які розгортають смарт-контракти на Блокчейні, є нашою типічною категорією клієнтів. Другою типічною категорією клієнтів є люди, які мають активи, можливо, це деякі заможні клієнти, які мають активи у контрактних гаманцях, або ж ці заможні клієнти інвестують в деякі протоколи на Блокчейні. Наші послуги та продукти можуть допомогти їм краще контролювати безпеку протоколів, в які вони інвестують. Як дві сторони монети, з точки зору проекту протоколу, ми можемо допомогти їм підвищити безпеку протоколу. З точки зору заможних клієнтів, які інвестують в їхній протокол, ми можемо допомогти їм контролювати безпеку протоколу, в який вони інвестують. Якщо протокол, в який вони інвестували, має безпекові ризики, наприклад, піддається атаці, їм потрібно мати можливість швидко забрати свої кошти. Третьою категорією клієнтів є регулятори та комплаєнс, ця категорія клієнтів в основному складається з регуляторних органів, наприклад, Комісія з цінних паперів Гонконгу також є нашим клієнтом, а також закордонні правоохоронні органи, які потребують інструментів та платформ для проведення розслідувань, пов'язаних із злочинами у сфері цифрових валют, їм потрібно використовувати наші інструменти та платформи для зручного збору доказів, відстеження коштів тощо. Це в основному те, чим ми займаємося, а також охоплення наших клієнтів.

Три поради щодо безпеки шифрування

**Alex：**Розумію, щойно пан Чжоу говорив про типи клієнтів, які в них є потреби, а також загальну ситуацію в галузі. Отже, друге питання може бути більш пов'язане з особистими інвесторами, особливо враховуючи, що серед наших слухачів багато тих, хто тільки починає входити в Web3, щоб вивчати та пробувати інвестиції. Якщо у вас є друг, який тільки що увійшов у сферу шифрування, і він знає, що ви займаєтеся послугами шифрування безпеки, будь ласка, дайте йому три поради щодо шифрування безпеки, які ви б йому дали?

Жоу Яцзин: Це питання дуже хороше. Мої друзі також часто запитують мене про деякі поради щодо безпеки, вони хочуть увійти в цю галузь, але чують, що багато людей стикаються з ризиками. У нас є жарт: якщо ти вступаєш у Crypto коло і не потрапляєш на фішинг або не стаєш жертвою шахрайства, ти не станеш досвідченим гравцем у цій сфері. Звісно, це жарт, але дійсно, в цій індустрії є багато ризиків. Якщо ви хочете отримати три поради, перша порада, безумовно, буде тією, про яку всі подумають, - це захист приватного ключа. У Crypto сфері, як довести, що ви володієте цими коштами, насправді, це використання приватного ключа для підтвердження вашого права на цей рахунок. Приватний ключ - це рядок цифр, і він не прив'язаний до вашої особистої ідентичності. Якщо ця рядок цифр буде втрачена або розголошена, інші люди можуть отримати контроль над вашими коштами, як і ви. Це дуже відрізняється від реального світу. У реальному світі, якщо ваш банківський пароль розголошений, ви можете зателефонувати до банку і попросити заморозити рахунок, інші не можуть зняти гроші. Але в Crypto світі, якщо ваш приватний ключ був розголошений, то особа, яка його має, може без обмежень з вашого рахунку вивести ваші кошти. Зазвичай, існує кілька способів захисту приватного ключа, наприклад, ми маємо апаратні гаманці, використовуємо контрактні гаманці або мобільні додатки для захисту приватного ключа. Кожен з цих методів має свої переваги та недоліки. На основі мого власного досвіду та досвіду деяких безпечних друзів, основний принцип полягає в тому, щоб записати мнемонічну фразу приватного ключа, покласти її в сейф, незалежно від того, чи це сейф вашого дому або банку, зберігати його в безпеці, зазвичай не чіпати, адже вам це не потрібно. Потім використовуйте відносно надійний пристрій, будь то апаратний гаманець або телефон, щоб зберігати свій приватний ключ. Цей телефон повинен бути спеціалізованим пристроєм, не використовуйте для будь-якої іншої діяльності, лише для управління вашими цифровими активами. Це перша порада. Друга порада - під час торгівлі в мережі завжди потрібно мати свідомість про безпеку та ризики. В основному, ви повинні пам'ятати одне речення: з неба пиріжки не падають. Ми виявили, що під час торгівлі в мережі користувачі зіштовхуються з великою загрозою фішингу. Багато відомих KOL і OG у криптосфері також стикалися з атаками фішингу і втрачали великі суми коштів. Якщо невідомий сайт просить вас підключити гаманець, щоб отримати так звану нагороду за аірдроп, потрібно бути дуже обережним і завжди усвідомлювати питання безпеки. Третя порада - вам потрібно трохи розуміти основи шифрування активів. Основні знання означають, що в шифрованих активах ми зазвичай маємо концепцію авторизації. Це відрізняється від традиційних фінансів. Наприклад, якщо ви володієте певним цифровим активом, USDT або USDC, через підпис у мережі ви можете дозволити активи контракту або іншим користувачам використовувати їх, і така авторизація здійснюється просто через підпис вашого гаманця на незрозумілій для вас купі дивних речей. Тому, підписуючи підпис гаманця, якщо ви не зовсім розумієте або вас обманюють, підписуєте авторизацію транзакції, тоді інші можуть використовувати всі ваші цифрові активи. Тож вам потрібно мати базове розуміння авторизації, щоб не помилково підписати такі транзакції. Підсумовуючи, основні рекомендації такі: перше - бережіть свій приватний ключ, надайте деякі практичні методи; друге - під час торгівлі в мережі завжди будьте обережні, дотримуйтесь безпеки, не потрапляйте на фішинг; третє - необхідно мати базові знання про механізм авторизації у Crypto, щоб не помилково підписати деякі авторизовані транзакції.

Алекс: Насправді в моєму оточенні є чимало друзів з високим статком, вони також є OG або досвідченими гравцями в галузі. Як правило, вони мають певну обізнаність щодо безпеки, про яку ви згадали, але кожного року я чую, що деякі великі гравці стають жертвами крадіжок. В галузі є таке висловлювання, що якщо на вас націлився професійний хакер, який знає, що ваш гаманець багатий, і якщо він використовує всі доступні ресурси, вам зазвичай важко уникнути цього. Як ви вважаєте, це справедливо? Чи дійсно це так?

Чжоу Яцзінь: Ваше запитання дуже хороше. Насправді, питання безпеки, особливо коли мова йде про криптобезпеку, по суті є незбалансованим протистоянням. Якщо у вашому гаманці достатньо активів, ви легко можете стати мішенню для цілеспрямованих атак. Як тільки ви станете об'єктом чиєїсь цілеспрямованої атаки, інші використовуватимуть багато ресурсів, будь то ресурси соціального працівника, технічні ресурси або інші ресурси, щоб розробити методи атаки проти вас відповідно до повсякденних моделей поведінки та життєвих звичок жертви. В даному випадку не можна сказати на 100%, але складність вашого захисту дуже висока, тому що оточуючі використовують проти вас багато ресурсів, а у вас є тільки ви самі. Тож це дуже асиметричне протистояння. У цьому випадку, я думаю, основний принцип, перший полягає в тому, що у нас, китайців, є приказка під назвою багатство не показує багатство, тобто ви не повинні розкривати активи, якими ви володієте, і уникати розголошення відносин ідентичності між вашою особистою офлайн-особистістю та активами в мережі. Другий момент полягає в тому, що навіть якщо ви є заможним користувачем і, можливо, були витоку інформації іншими, вам потрібно добре попрацювати над тим, щоб максимально відокремити активи. Іншими словами, активи, з якими ви зазвичай оперуєте щодня, можуть становити до 100 000 юанів у спеціальному гаманці, а інші можуть обдурити лише 100 000 юанів щонайбільше на 100 000 юанів. І багато інших ваших активів повинні бути в гаманці, який вам зазвичай не потрібно використовувати. Якщо вам потрібно використовувати ці активи, вам потрібно знайти експерта з безпеки, який допоможе вам переглянути набір кращих операційних процесів і специфікацій, що дозволить уникнути дуже великих ризиків.

Найбільш вражаючі три інциденти безпеки

**Alex：**Розумію, ця порада дійсно дуже важлива. Чи не могли б ви поділитися з нами трьома найбільш вражаючими випадками безпеки, з якими ви стикалися за час своєї роботи? Це можуть бути як ваші власні переживання, так і випадки, про які розповідали ваші друзі або що ви чули.

Жоу Яцзин: Я можу поділитися з усіма тим, що ми насправді особисто брали участь у розгляді і запам'ятали безпекові інциденти. Перший приклад, який я пам'ятаю, стався приблизно 10 лютого 2023 року, коли на Блокчейн був атакований один з протоколів. Це була платформа, що поєднувала в собі кредитування та інші функції. Цей протокол мав безпечну вразливість, і хакери скористалися цією вразливістю, приблизно викравши.