О глубоком разговоре о шифровании безопасности

Ведущий: Алекс, исследователь

Гость: Чжоу Яцзин, CEO компании по шифрованию блокчейна

Запись времени: 2025.3.28

Сфера услуг и целевая аудитория BlockSec

Алекс: В этом эпизоде мы поговорим о безопасности в мире шифрования. Как построить защитную стену для своих активов и инвестировать в безопасной среде — это обязательная тема, которую нужно изучить перед началом нашего шифрования путешествия. В этом подкасте мы пригласили Чжоу Яцзина из компании по безопасности блокчейна, чтобы обсудить эту тему шифрования безопасности. Пожалуйста, поздоровайтесь с нами, учитель Чжоу.

Чжоу Яцзинь: Привет всем, я Чжоу Яцзинь, в настоящее время я являюсь генеральным директором компании по безопасности блокчейна, также я исследователь в области кибербезопасности в Университете Чжэцзян, очень рад вас всех видеть.

Алекс: Хорошо, давайте перейдем к сегодняшней теме. Я уверен, что многие слушатели могут не так хорошо понимать компании и услуги безопасности в области блокчейна. Пожалуйста, учитель Чжоу, расскажите нам о том, какие услуги вы предоставляете, какие люди и какие учреждения могут стать вашими клиентами.

Чжоу Яцзинь: Хорошо, мы являемся компанией по безопасности Web3, основанной в 2021 году. Когда речь заходит о безопасности Web3, многие, вероятно, в первую очередь думают о безопасности аудита. На самом деле, наша сфера деятельности не ограничивается только безопасностью аудита, мы также предоставляем ряд других продуктов и услуг безопасности. Конкретно, услуги можно разделить на три основные части. Первая часть, которую мы называем безопасностью для протоколов на цепи. Протоколы на цепи — это те смарт-контракты, которые мы реализуем на блокчейне для проведения некоторых DeFi или NFT, или других видов деятельности. Как обеспечить безопасность этих контрактов? Мы предоставляем услуги безопасного аудита и продукты для безопасного мониторинга. Вторая часть, на которую мы обращаем внимание, это безопасность активов. Под безопасностью активов понимается безопасность активов, которые есть у пользователей, например, если эти активы находятся в их контрактных кошельках или инвестированы в некоторые протоколы на цепи, как обеспечить безопасность этих активов пользователей, это также одна из наших услуг. Третья часть — это соблюдение норм и регулирование. Мы замечаем, что все больше традиционных финансовых учреждений входит в криптоиндустрию. Включая последние новости, мы видим, что традиционные банки в США выпускают некоторые стабильные монеты на цепи, включая Crypto, входящий в сферу трансакций через границы. На самом деле, когда эти традиционные финансовые учреждения входят в эту сферу, это создает проблему для регулирования, так как регуляторы не знают, как регулировать, а эти учреждения не знают, как соблюдать нормы. Таким образом, мы также помогаем регуляторам регулировать игроков, входящих в Crypto-индустрию, или помогаем традиционным учреждениям, входящим в Crypto, соблюдать нормы. Это три области нашей деятельности.

Наши клиенты охватывают широкий спектр. То, что можно представить, это проекты, которые занимаются децентрализованными финансами на блокчейне или другими услугами, такими как платформы для предоставления кредитов на блокчейне, платформы для децентрализованной торговли; эти проекты являются нашими клиентами. Мы можем помочь им провести аудит безопасности перед развертыванием смарт-контрактов на блокчейне, проверяя с безопасной точки зрения, есть ли у разработанных ими смарт-контрактов уязвимости. Если есть уязвимости, их нужно своевременно исправить. Также, когда их протоколы развертываются на блокчейне, у нас будет круглосуточная платформа мониторинга для отслеживания рисков безопасности их протоколов. Если возникает какой-либо риск безопасности, наша платформа может оперативно уведомить протокол и автоматически заблокировать риски и атаки. Таким образом, разработчики и проекты, развертывающие смарт-контракты на блокчейне, являются типичными клиентами нашей категории. Вторая категория типичных клиентов - это владельцы активов, возможно, некоторые состоятельные клиенты, которые имеют активы в кошельках смарт-контрактов или инвестируют в некоторые протоколы на блокчейне. Наши услуги и продукты могут помочь им лучше контролировать безопасность тех протоколов, в которые они инвестируют. Как две стороны одной монеты, с точки зрения проектных сторон протоколов, мы можем помочь им повысить безопасность протокола. С точки зрения состоятельных клиентов, инвестирующих в их протоколы, мы можем помочь им контролировать безопасность тех протоколов, в которые они инвестируют. Как только у протокола, в который он инвестировал, возникнет риск безопасности, например, атака, ему нужно будет немедленно вывести свои средства. Третья категория клиентов - это, как я уже упоминал, надзор и соблюдение, эта категория клиентов в основном включает в себя регуляторные органы, например, Комиссию по ценным бумагам Гонконга, которая также является нашим клиентом, а также некоторые зарубежные правоохранительные органы, которые нуждаются в расследовании, связанном с преступлениями в сфере цифровой валюты, и им нужно использовать наши инструменты и платформу для удобного извлечения доказательств, отслеживания средств и других расследовательских мероприятий. Это в основном все наши бизнес-области и круг клиентов.

О трех советах по шифрованию безопасности

Алекс: Понял, только что профессор Чжоу говорил о типах клиентов, какие у них есть потребности и общая ситуация в отрасли. Следующий вопрос, возможно, будет более связан с частными инвесторами, особенно учитывая, что среди наших слушателей много тех, кто только начинает изучать и пробовать инвестировать в Web3. Если у вас есть друг, который только что вошел в сферу шифрования, и он знает, что вы занимаетесь услугами безопасности шифрования, пожалуйста, дайте ему три совета по безопасности шифрования. Какие три совета вы бы ему дали?

Чжоу Яцзинь: Это очень хороший вопрос. Мои друзья тоже часто спрашивают у меня совета по безопасности, и они тоже хотят войти в эту отрасль, но я слышал, что многие люди, кажется, сталкиваются с некоторыми рисками. Раньше мы шутили, что если вы вошли в мир криптовалют и не стали жертвой фишинга или мошенничества, вы не станете опытным игроком в этой области. Конечно, это шутка, но также видно, что рисков в этой отрасли очень много. Если бы мне нужно было высказать три предложения, первое, которое наверняка пришло бы всем в голову, касалось защиты закрытых ключей. В криптографической сфере доказательство того, что вы владеете средствами, на самом деле заключается в использовании приватного ключа, которым вы владеете, чтобы доказать свое право собственности на учетную запись. Приватный ключ — это строка цифр, которая не привязана к вашей личной личности. Как только эта строка чисел теряется или утекает, кто-то другой может иметь такой же контроль над вашими собственными средствами, как и вы. Это сильно отличается от нашего реального мира. В реальном мире, если ваш банковский пароль скомпрометирован, вы можете позвонить в банк и попросить заморозить счет, и ни у кого больше не будет возможности снять деньги. Но в криптомире, если ваш приватный ключ скомпрометирован, то человек, владеющий вашим приватным ключом, может перевести ваши средства с вашего счета без ограничений. Вообще говоря, существует несколько способов защиты закрытого ключа, например, у нас есть аппаратный кошелек, контрактный кошелек или приложение для мобильного телефона для защиты закрытого ключа. Каждый способ имеет свои преимущества и недостатки. Исходя из моего собственного опыта и общего опыта некоторых наших друзей по безопасности, основной принцип заключается в мнемонической фразе закрытого ключа: запишите его и положите в сейф, будь то сейф вашего собственного дома или банка, храните его, не трогайте его, в принципе, вы не можете им пользоваться. Затем используйте устройство, которому вы можете доверять относительно хорошо, будь то аппаратный кошелек или мобильный телефон, для хранения ваших приватных ключей. Этот телефон должен быть специализированным устройством, не предназначенным для выполнения каких-либо других оперативных действий, а только для управления собственными цифровыми активами. Это первое предложение. Второй совет — помнить о безопасности и рисках при совершении транзакций в сети. По сути, вам просто нужно запомнить одно предложение: в небе нет журавля. Мы обнаружили, что при совершении транзакций в сети пользователи подвергаются очень высокому риску фишинга. Многие KOL и OG, в том числе в знакомом нам криптомире, столкнулись с фишинговыми атаками и потеряли много денег. Если необъяснимый веб-сайт просит вас подключить кошелек для получения так называемого вознаграждения за аирдроп, вам нужно быть более осторожным в это время и помнить о безопасности. Третий совет заключается в том, что вам нужно немного знать об основах криптоактивов. Под базовыми знаниями понимается тот факт, что в криптоактивах у нас обычно есть понятие авторизации. Это отличается от традиционных финансов. Допустим, вы владеете типом цифрового актива, USDT или USDC, и с помощью ончейн-подписей вы можете авторизовать актив на контракт или других пользователей для его использования, и эта авторизация может быть достигнута путем подписания кучи странных вещей, которые вы не можете понять, через свой кошелек. Поэтому, когда вы подписываете подпись кошелька, потому что вы не совсем понимаете или вас обманули, вы подписываете авторизованную транзакцию, то кто-то другой может использовать все ваши цифровые активы. Поэтому нужно иметь немного базового представления об авторизации, чтобы не подписать такую транзакцию по ошибке при подписании подписи кошелька. Подводя итог, можно сказать, что основной совет таков: первый — защитить свой собственный приватный ключ и дать некоторые методы работы; Второй заключается в том, что нужно всегда быть осторожным при проведении транзакций в сети, а также иметь чувство безопасности и не стать жертвой фишинга; В-третьих, необходимо иметь базовое представление о механизме авторизации криптовалюты, чтобы вы не могли по ошибке подписать некоторые авторизованные транзакции.

Алекс: На самом деле, вокруг меня довольно много людей с высоким уровнем достатка, они также являются OG или профессионалами в этой сфере. По идее, те меры безопасности, которые вы упомянули, им должны быть известны, но каждый год я слышу о том, что некоторые крупные игроки становятся жертвами кражи. В индустрии есть такое мнение, что если профессиональный хакер нацелился на вас и знает, что ваш кошелек содержит деньги, то если он задействует все доступные ресурсы, вам зачастую трудно избежать кражи. Как вы думаете, это действительно так?

Чжоу Яцзинь: Ваш вопрос очень хорош. На самом деле, проблема безопасности, особенно когда речь идет о шифровании, по своей сути является несимметричной конфронтацией. Если в вашем кошельке достаточно активов, вы становитесь легкой мишенью для целенаправленной атаки. Как только вы становитесь целью, противник будет использовать множество ресурсов, будь то социальные, технические или другие, чтобы разработать методы атаки, основанные на вашем повседневном поведении, привычках и т.д. В таких условиях, нельзя сказать, что это невозможно, но уровень защиты будет очень высоким, потому что противник использует много ресурсов, в то время как у вас есть только вы сами. Поэтому это очень несимметричная конфронтация. В такой ситуации я считаю, что основным принципом является то, что у нас есть пословица: «не показывай свое богатство», что означает, что вы не должны раскрывать свои активы и избегать раскрытия своей личной оффлайн-идентичности и идентичности активов в сети. Второе, даже если вы являетесь пользователем с высоким уровнем дохода, возможно, ваши данные уже утекли, поэтому вам нужно максимально изолировать свои активы. Это означает, что активы, которые вы используете в повседневной жизни, должны находиться в специальном кошельке с максимумом в 100 000, так что, если кто-то нацелится на вас, он сможет увести только эти 100 000. А ваши другие активы должны находиться в кошельке, который вы обычно не используете. Если вам нужно использовать эти активы, вам следует найти экспертов по безопасности, чтобы вместе с ними просмотреть хорошие процессы и нормы, это поможет избежать значительных рисков.

Наиболее запоминающиеся три события безопасности

Алекс: Понял, этот совет действительно очень важен. Можете ли вы поделиться с нами тремя наиболее запоминающимися инцидентами безопасности за время вашей работы? Это могут быть как ваши собственные переживания, так и случаи, о которых рассказывали ваши друзья или которые вы слышали.

Чжоу Яцзинь: Я могу поделиться с вами некоторыми случаями безопасности, с которыми мы на самом деле лично сталкивались и которые произвели на меня глубокое впечатление. Первый пример, который я помню, произошел в начале февраля 2023 года, когда на блокчейне был атакован протокол под названием Протокол Утконоса. Это платформа, которая сочетает в себе кредитование и другие функции. У этого протокола была уязвимость в безопасности, и хакеры через эту уязвимость похитили почти 9 миллионов долларов США активов. Это событие запомнилось мне потому, что хакеры сделали ошибку, атакуя протокол Утконоса. Когда они атаковали смарт-контракт, им пришлось разрабатывать его самостоятельно.