Şifreleme güvenliği üzerine derinlikli bir diyalog

Sunucu: Alex, araştırmacı

Konuk: Zhou Yajin, blok zinciri güvenlik şirketi CEO'su

Kayıt zamanı: 2025.3.28

BlockSec'in hizmet kapsamı ve hedef müşteri

**Alex：**Bu bölümde kripto dünyasının güvenliğinden bahsedeceğiz. Varlıklarınız için nasıl bir güvenlik duvarı oluşturabilirsiniz, güvenli bir ortamda yatırım yapmak, kripto yolculuğumuza başlamadan önceki zorunlu bir ders. Bu bölümde blockchain güvenlik şirketinden Zhou Yajin'i davet ettik, kripto güvenliği konusunu bizimle konuşacak. Zhou öğretmenimiz, lütfen bize selam verin.

Zhou Yajin: Merhaba, ben Zhou Yajin, şu anda bir blok zinciri güvenlik şirketinde CEO olarak çalışıyorum, aynı zamanda Zhejiang Üniversitesi'nde siber güvenlik üzerine araştırmacıyım, sizlerle tanıştığım için çok mutluyum.

**Alex：**Tamam, bugün konumuza girelim. Benim inancımca birçok dinleyici blockchain güvenlik şirketleri ve güvenlik hizmetleri hakkında çok fazla bilgiye sahip olmayabilir. Lütfen hoca, bize sağladığınız hizmetlerin genel içeriğini tanıtın, hangi tür insanlar ve hangi tür kurumlar sizin müşteriniz olabilir.

Zhou Yajin: Tamam, biz 2021 yılında kurulan bir Web3 güvenlik şirketiyiz. Web3 güvenliğinden bahsettiğimizde, herkesin aklına ilk gelen güvenlik denetimi olabilir. Aslında, iş alanımız sadece güvenlik denetimi ile sınırlı değil, ayrıca bir dizi diğer güvenlik ürünleri ve hizmetleri de sunuyoruz. Özellikle, hizmetlerimizi üç ana bölüme ayırabiliriz. İlk bölüm, zincir üzerindeki protokollere yönelik güvenlik olarak adlandırdığımız kısım. Zincir üzerindeki protokoller, blok zincirinde bazı DeFi veya NFT gibi diğer etkinliklerin gerçekleştirilmesi için dağıtılan akıllı sözleşmelerdir. Bu sözleşmelerin güvenliğini nasıl sağlayabiliriz? İşte burada güvenli denetim hizmetleri ve güvenli izleme ürünleri sunuyoruz. İkinci olarak, varlık güvenliğine odaklanıyoruz. Varlık güvenliği, kullanıcıların sahip olduğu varlıkların güvenliğidir; örneğin, bu varlıklar kendi sözleşme cüzdanlarında veya bazı zincir üzerindeki protokollere yatırılmışsa, bu kullanıcı varlıklarının güvenliğini sağlamak da hizmet alanımızdan biridir. Üçüncü kısım ise uyum ve denetimdir. Geleneksel finans kurumlarının Crypto sektörüne giderek daha fazla girdiğini görüyoruz. Son zamanlarda gördüğümüz haberlerde, ABD'nin bu geleneksel bankalarının zincir üzerinde bazı stabilcoin varlıkları çıkardığını ve Crypto'nun sınır ötesi ödeme sektörüne girdiğini duyuyoruz. Aslında, bu geleneksel finans kurumları sektöre girdiğinde, denetim için bir sorun ortaya çıkıyor; denetim kurumları nasıl denetleyeceklerini bilmiyor, bu kurumlar da nasıl uyum sağlayacaklarını bilmiyorlar. Bu nedenle, Crypto sektörüne giren bu oyuncuları denetlemelerine yardımcı olmak veya Crypto sektörüne giren bu geleneksel kurumların uyum sağlamalarına yardımcı olmak için çalışıyoruz. İşte iş alanlarımızın üç kapsamı.

Müşterilerimizin kapsadığı alan oldukça geniş. Herkesin aklına gelen, zincir üzerinde merkeziyetsiz finans veya diğer bazı hizmet projeleri, örneğin zincir üzerinde kredi veren platformlar, merkeziyetsiz ticaret platformları gibi projeler, bizim müşterilerimizdir. Onlara akıllı sözleşmelerini zincir üzerine dağıtmadan önce güvenli denetim yaparak yardımcı olabiliriz, geliştirdikleri akıllı sözleşmelerin güvenlik açıkları olup olmadığını güvenlik perspektifinden gözden geçiririz. Eğer güvenlik açığı varsa, zamanında düzeltilmesi gerekir. Aynı zamanda, protokolleri zincir üzerine dağıtıldığında, onların protokollerinin güvenlik risklerini izlemek için 7/24 izleme platformuna sahip olacağız. Herhangi bir güvenlik riski meydana gelirse, platformumuz protokolü zamanında bilgilendirebilir ve riskleri ve saldırıları otomatik olarak durdurabilir. Bu nedenle, zincir üzerinde akıllı sözleşmeler dağıtan bu geliştiriciler ve projeler, bizim tipik bir müşteri grubumuzu oluşturur. İkinci tip tipik müşteriler ise varlık sahibi olan kişiler, bazı yüksek net değerli müşteriler olabilir, bu kişiler akıllı cüzdanlarında bazı varlıklara sahip olabilir veya bu yüksek net değerli müşteriler zincir üzerindeki bazı protokollere yatırım yapabilir. Hizmetlerimiz ve ürünlerimiz, yatırım yaptıkları protokollerin güvenliğini daha iyi izlemelerine yardımcı olabilir. Paranın iki yüzü gibi, protokol proje sahiplerinin perspektifinden bakıldığında, protokollerinin güvenliğini artırmalarına yardımcı olabiliriz. Protokollerine yatırım yapan yüksek net değerli müşterilerin perspektifinden bakıldığında, yatırım yaptıkları protokollerin güvenliğini izlemelerine yardımcı olabiliriz. Yatırım yaptıkları protokolde güvenlik riski olduğunda, örneğin saldırıya uğradıklarında, fonlarını geri çekebilmek için hemen harekete geçmeleri gerekir. Üçüncü tip müşteri, az önce bahsettiğim denetim ve uyumluluk, bu tür müşteriler genellikle denetim kurumlarıdır, örneğin Hong Kong Menkul Kıymetler ve Vadeli İşlemler Komisyonu da bizim müşterimizdir, ayrıca yurtdışındaki bazı yasadışı uygulayıcılar, dijital para suçlarıyla ilgili soruşturmalar yürütmek için araçlarımıza ve platformlarımıza ihtiyaç duyarlar, kanıt toplama, fon izleme gibi araştırma faaliyetlerini kolaylaştırmak için. Bu, genel iş modelimiz ve müşteri kapsamımızdır.

Şifreleme güvenliği hakkında üç öneri

**Alex：**Anladım, az önce öğretmen Zhou müşterilerin türlerinden, onların ihtiyaçlarından ve genel sektör durumundan bahsetti. İkinci soru, kişisel yatırımcılarla daha fazla bağlantılı olabilir, özellikle de dinleyicilerimizden birçoğu yeni Web3'e girip öğrenmeye ve yatırım yapmaya çalışan kişiler. Eğer etrafınızda yeni şifreleme yatırım alanına giren bir arkadaşınız varsa ve sizin şifreleme güvenliği hizmetleri sağladığınızı biliyorsa, ona şifreleme güvenliği hakkında üç öneri verseniz, bu üç öneri hangileri olurdu?

Zhou Yajin: Bu çok iyi bir soru. Arkadaşlarım da sık sık benden bazı güvenlik tavsiyeleri istiyorlar ve onlar da sektöre girmek istiyorlar, ancak birçok insanın bazı risklerle karşılaştığını duydum. Kripto dünyasına girdiyseniz ve kimlik avına veya dolandırılmadıysanız, bu alanda deneyimli bir oyuncu olmayacağınız konusunda şaka yapardık. Tabii ki, bu bir şaka, ama aynı zamanda bu sektörde çok fazla risk olduğunu da görebilirsiniz. Üç öneride bulunmam gerekseydi, kesinlikle herkesin aklına gelen ilk öneri özel anahtarların korunması ile ilgiliydi. Kripto alanında, fonlara sahip olduğunuzu kanıtlamanın yolu, aslında hesabın size ait olduğunu kanıtlamak için sahip olduğunuz özel anahtarı kullanmaktır. Özel anahtar, kişisel kimliğinize bağlı olmayan bir sayı dizisidir. Bu sayı dizisi kaybolduğunda veya sızdırıldığında, bir başkası kendi fonlarınız üzerinde sizinle aynı kontrole sahip olabilir. Bu bizim gerçek dünyamızdan çok farklı. Gerçek dünyada, banka şifreniz ele geçirilirse, bankayı arayabilir ve hesabın dondurulmasını isteyebilirsiniz ve başka hiç kimsenin para çekmenin bir yolu yoktur. Ancak kripto dünyasında, özel anahtarınız ele geçirilirse, özel anahtarınıza sahip olan kişi paranızı hesabınızdan kısıtlama olmaksızın aktarabilir. Genel olarak konuşursak, özel anahtarı korumanın birkaç yolu vardır, örneğin özel anahtarı korumak için bir donanım cüzdanımız, bir sözleşme cüzdanımız veya bir cep telefonu APP'miz vardır. Her yöntemin kendine göre avantajları ve dezavantajları vardır. Kendi tecrübelerim ve bazı güvenlik arkadaşlarımızın genel tecrübeleri sayesinde, temel prensip özel anahtarın anımsatıcı ifadesidir, bir yere yazın ve kasaya koyun, kasa ister kendi eviniz ister bankanız olsun, saklayın, dokunmayın, temelde kullanamazsınız. Ardından, özel anahtarlarınızı saklamak için ister donanım cüzdanı ister cep telefonu olsun, nispeten iyi güvenebileceğiniz bir cihaz kullanın. Bu telefon, başka herhangi bir operasyonel faaliyet yapmak için değil, sadece kendi dijital varlıklarınızı yönetmek için özel bir cihaz olmalıdır. Bu ilk öneri. İkinci tavsiye, zincir üzerinde işlem yaparken güvenlik ve risklerin farkında olmaktır. Esasen, sadece bir cümleyi hatırlamanız gerekiyor: gökyüzünde pasta yok. Zincir üzerinde işlem yaparken kullanıcıların çok yüksek bir kimlik avı riskine maruz kaldığını tespit ettik. Aşina olduğumuz kripto dünyasındakiler de dahil olmak üzere birçok KOL ve OG, kimlik avı saldırıları yaşadı ve çok para kaybetti. Açıklanamayan bir web sitesi, sözde airdrop ödülünü almak için cüzdanınızı bağlamanızı isterse, şu anda daha dikkatli olmanız ve güvenliğin farkında olmanız gerekir. Üçüncü tavsiye, kripto varlıkların temelleri hakkında biraz bilgi sahibi olmanız gerektiğidir. Temel bilgi, kripto varlıklarda genellikle yetkilendirme kavramına sahip olduğumuz gerçeğini ifade eder. Bu, geleneksel finanstan farklıdır. Diyelim ki USDT veya USDC gibi bir tür dijital varlığa sahipsiniz ve zincir içi imzalar aracılığıyla varlığı bir sözleşmeye veya diğer kullanıcılara onu kullanma yetkisi verebilirsiniz ve bu yetkilendirme, cüzdanınız aracılığıyla anlayamadığınız bir dizi garip şeyi imzalayarak elde edilebilir. Yani cüzdan imzasını imzaladığınızda, tam olarak anlamadığınız veya aldatıldığınız için yetkilendirilmiş işlemi imzalarsınız, ardından bir başkası tüm dijital varlıklarınızı kullanabilir. Bu nedenle, cüzdan imzasını imzalarken yanlışlıkla böyle bir işlemi imzalamamak için biraz temel yetkilendirme bilgisine sahip olmanız gerekir. Özetlemek gerekirse, temel tavsiye şudur: ilki kendi özel anahtarınızı korumak ve bazı operasyonel yöntemler vermektir; İkincisi, zincir içi işlemler gerçekleştirirken her zaman dikkatli olmanız ve güvenlik duygusuna sahip olmanız ve kimlik avına uğramamanız gerektiğidir; Üçüncüsü, Crypto'nun yetkilendirme mekanizması hakkında temel bir anlayışa sahip olmaktır, böylece bazı yetkili işlemleri yanlışlıkla imzalamayacaksınız.

Alex: Yanımda oldukça fazla yüksek varlıklı arkadaşım var, onlar da sektördeki OG veya deneyimli kişiler. Normalde, sizin bahsettiğiniz bu güvenlik bilinci, onların biraz da olsa var, ama her yıl etrafımda bazı büyük yatırımcıların soyulduğunu duyuyorum. Sektörde bir söz var, diyorlar ki eğer profesyonel bir hacker sizi hedef alırsa, cüzdanınızın para dolu olduğunu biliyorsa, eğer kullanılabilir tüm kaynakları harekete geçirirse, genellikle kurtulmanız zor olur. Bu görüşe katılıyor musunuz? Gerçekten böyle mi?

Zhou Yajin: Bu sorunuz çok iyi. Aslında güvenlik sorunu, özellikle Crypto güvenliği ile ilgili olarak, temelde dengesiz bir çatışmadır. Cüzdanınızda yeterince varlık bulunduruyorsanız, başkalarının hedefli saldırılarının hedefi olmanız çok kolaydır. Ve bir kez başkalarının hedefli saldırı hedefi haline geldiğinizde, başkaları çok sayıda kaynak kullanacaktır; bu, sosyal mühendislik kaynakları, teknik kaynaklar veya diğer kaynaklar olsun, hedefin günlük davranış kalıplarına, yaşam alışkanlıklarına vb. dayanarak size yönelik saldırı yöntemleri tasarlayacaklardır. Bu durumda, yüzde yüz diyemem, ama savunma zorluğu çok yüksektir çünkü başkaları sizinle savaşmak için çok sayıda kaynak kullanıyor ve sizin yalnızca kendinizsiniz. Yani bu çok asimetrik bir çatışmadır. Bu durumda, temel ilkemiz, Çinlilerin "zenginliği gizlemek" dediği bir söz var; yani sahip olduğunuz varlıkları açığa çıkarmamalısınız, kişisel çevrimiçi kimliğinizi ve zincir üzerindeki varlık kimliğinizin ilişkisini ifşa etmekten kaçınmalısınız. İkinci nokta, eğer yüksek net değerli bir kullanıcıysanız, belki de başkaları tarafından ifşa edilmiş olabilirsiniz, bu nedenle varlıklarınızı mümkün olduğunca iyi bir şekilde izole etmelisiniz. Yani, günlük işlemlerinizdeki varlıklar, özel cüzdanınızda en fazla 100.000 TL olmalıdır; başkaları sizi hedeflediğinde, en fazla bu 100.000 TL’yi alabilirler. Diğer büyük varlıklarınızı ise genellikle harekete geçirmediğiniz bir cüzdanda saklamalısınız. Eğer bu varlıkları kullanmanız gerekiyorsa, güvenlik uzmanlarından iyi bir işlem süreci ve standartları gözden geçirmelerini istemelisiniz; bu, büyük riskleri önlemenize yardımcı olabilir.

En çok etki bırakan üç güvenlik olayı

**Alex：**Anladım, bu öneri gerçekten çok önemli. Bizimle sektördeki en etkileyici üç güvenlik olayını paylaşabilir misiniz? Bunlar sizin bizzat deneyimlediğiniz olaylar olabilir ya da çevrenizdeki arkadaşlarınızın başına gelenler ya da bazı gözlemleriniz.

Zhou Yajin: Herkese, aslında bizzat katıldığımız ve oldukça derin iz bırakan güvenlik olaylarını paylaşabilirim. İlk örneği hatırlıyorum, 2023 yılının Şubat ayının on gününde, zincirde bir protokol olan Duckbill Protokolü saldırıya uğradı. Bu, bir borç verme ve diğer işlevleri bir araya getiren bir platform. Bu protokolde bir güvenlik açığı vardı, hacker bu açığı kullanarak yaklaşık 9 milyon USD değerinde varlık çaldı. Bu olayın benim için bu kadar derin iz bırakmasının nedeni, hackerın Duckbill Protokolü'ne saldırırken bir hata yapması. Akıllı sözleşmeye saldırırken kendisinin geliştirmesi gerekiyordu.