Về độ sâu của cuộc đối thoại về mã hóa an toàn

Người dẫn chương trình: Alex, nhà nghiên cứu

Khách mời: Chu Á Kim, CEO công ty an ninh blockchain

Thời gian ghi âm: 2025.3.28

Phạm vi dịch vụ và khách hàng mục tiêu của BlockSec

**Alex：**Trong chương trình này, chúng ta sẽ nói về an ninh trong thế giới mã hóa. Làm thế nào để xây dựng một tường lửa cho tài sản của mình, để đầu tư trong một môi trường an toàn, là một chủ đề bắt buộc trước khi chúng ta bắt đầu hành trình mã hóa. Trong podcast này, chúng tôi đã mời Zhou Yajin từ một công ty an ninh blockchain đến trò chuyện với chúng tôi về chủ đề an ninh mã hóa. Xin mời thầy Zhou gửi lời chào đến chúng tôi.

Châu Á Kim: Xin chào mọi người, tôi là Châu Á Kim, hiện tại tôi đang làm Giám đốc điều hành tại một công ty an ninh blockchain, đồng thời tôi cũng là một nhà nghiên cứu về an ninh không gian mạng tại Đại học Chiết Giang, rất vui được gặp mọi người.

**Alex：**Được rồi, chúng ta hãy vào chủ đề chính hôm nay. Tôi tin rằng khá nhiều thính giả có thể không hiểu rõ về các công ty an ninh blockchain, dịch vụ an ninh. Xin mời thầy Chu giới thiệu cho chúng tôi về các dịch vụ mà các bạn cung cấp, ai sẽ là khách hàng của các bạn, những người hay tổ chức nào.

Châu Á Kim: Được rồi, chúng tôi là một công ty an ninh Web3, được thành lập vào năm 2021. Nói về an ninh Web3, mọi người có thể nghĩ ngay đến kiểm toán an ninh. Thực ra, phạm vi hoạt động của chúng tôi không chỉ là kiểm toán an ninh, mà chúng tôi còn cung cấp một loạt các sản phẩm và dịch vụ an ninh khác. Cụ thể, dịch vụ có thể được chia thành ba mảng lớn. Mảng đầu tiên chúng tôi gọi là an ninh cho các giao thức trên chuỗi. Giao thức trên chuỗi là những hợp đồng thông minh được triển khai trên blockchain để thực hiện một số hoạt động DeFi hoặc NFT, hoặc các hoạt động khác. Vậy làm thế nào để đảm bảo an toàn cho những hợp đồng này? Chúng tôi cung cấp dịch vụ kiểm toán an ninh và sản phẩm giám sát an ninh. Mảng thứ hai mà chúng tôi chú trọng là an ninh tài sản. An ninh tài sản có nghĩa là đảm bảo an toàn cho tài sản mà người dùng đang nắm giữ, chẳng hạn như tài sản đó nằm trong ví hợp đồng của họ, hoặc đầu tư vào một số giao thức trên chuỗi, làm thế nào để đảm bảo an toàn cho tài sản của người dùng cũng là một trong những phạm vi dịch vụ của chúng tôi. Mảng thứ ba là tuân thủ và quản lý. Chúng tôi nhận thấy ngày càng nhiều tổ chức tài chính truyền thống tham gia vào ngành Crypto. Bao gồm cả những gì chúng ta gần đây thấy trên tin tức, các ngân hàng truyền thống của Mỹ phát hành một số tài sản stablecoin trên chuỗi, bao gồm cả việc Crypto tham gia vào ngành thanh toán xuyên biên giới. Thực tế, khi những tổ chức tài chính truyền thống tham gia vào ngành này, đã tạo ra một thách thức cho việc quản lý, các cơ quan quản lý không biết cách quản lý, còn những tổ chức này thì không biết làm thế nào để tuân thủ quy định. Vì vậy, chúng tôi cũng đang hỗ trợ các cơ quan quản lý trong việc quản lý các người chơi tham gia vào ngành Crypto, hoặc nói cách khác là giúp các tổ chức truyền thống tham gia vào ngành Crypto tuân thủ quy định. Đây là ba phạm vi hoạt động của chúng tôi.

Phạm vi khách hàng của chúng tôi khá rộng. Những gì mọi người có thể nghĩ đến là các dự án làm tài chính phi tập trung trên chuỗi hoặc một số dịch vụ khác, chẳng hạn như nền tảng cho vay trên chuỗi, nền tảng giao dịch phi tập trung, những dự án này là khách hàng của chúng tôi. Chúng tôi có thể giúp họ thực hiện một số kiểm toán an toàn trước khi triển khai hợp đồng thông minh lên chuỗi, xem xét từ góc độ an toàn xem hợp đồng thông minh họ phát triển có tồn tại lỗ hổng an ninh hay không. Nếu có lỗ hổng an ninh, cần phải sửa chữa kịp thời. Đồng thời, khi giao thức của họ được triển khai lên chuỗi, chúng tôi cũng sẽ có một nền tảng giám sát 24/7 để theo dõi rủi ro an ninh của giao thức của họ. Nếu xảy ra bất kỳ rủi ro an ninh nào, nền tảng của chúng tôi có thể thông báo kịp thời cho giao thức và có thể tự động chặn rủi ro và tấn công. Vì vậy, những nhà phát triển và dự án triển khai hợp đồng thông minh lên chuỗi là một loại khách hàng điển hình của chúng tôi. Loại khách hàng điển hình thứ hai là những người sở hữu tài sản, có thể là một số khách hàng có giá trị cao, họ sở hữu một số tài sản trong ví hợp đồng, hoặc những khách hàng có giá trị cao này sẽ đầu tư vào một số giao thức trên chuỗi. Dịch vụ và sản phẩm của chúng tôi có thể giúp họ theo dõi tốt hơn tính an toàn của những giao thức mà họ đã đầu tư. Giống như mặt trước và mặt sau của đồng xu, từ góc độ của các dự án giao thức, chúng tôi có thể giúp họ cải thiện tính an toàn của giao thức. Từ góc độ của các khách hàng có giá trị cao đầu tư vào giao thức của họ, chúng tôi có thể giúp họ theo dõi tính an toàn của giao thức mà họ đã đầu tư. Một khi giao thức mà họ đầu tư có rủi ro an ninh, chẳng hạn như bị tấn công, họ cần có thể rút lại tiền của mình ngay lập tức. Loại khách hàng thứ ba là những gì tôi vừa nói về quy định và tuân thủ, loại khách hàng này chủ yếu là các cơ quan quản lý, chẳng hạn như Ủy ban Chứng khoán Hồng Kông cũng là khách hàng của chúng tôi, cũng như một số cơ quan thực thi pháp luật ở nước ngoài, cần điều tra các tội phạm liên quan đến tiền điện tử, họ cần sử dụng công cụ và nền tảng của chúng tôi để thuận tiện cho việc thu thập chứng cứ, theo dõi nguồn tiền và các hoạt động điều tra khác. Đây cơ bản là toàn bộ hoạt động kinh doanh của chúng tôi cũng như phạm vi khách hàng.

Về ba điểm khuyến nghị về mã hóa an toàn

Alex： Hiểu rồi, vừa rồi thầy Chu đã nói về các loại khách hàng, họ có nhu cầu gì và tình hình ngành chung. Vậy câu hỏi thứ hai có thể liên quan nhiều hơn đến các nhà đầu tư cá nhân, đặc biệt là nhiều thính giả của chúng ta là những người vừa mới bắt đầu tham gia Web3 để học hỏi và thử nghiệm đầu tư. Nếu bên cạnh bạn có một người bạn, anh ấy vừa mới bước vào lĩnh vực đầu tư mã hóa, anh ấy biết bạn đang cung cấp dịch vụ an ninh mã hóa, xin hãy cho anh ấy ba lời khuyên về an ninh mã hóa, ba lời khuyên đó sẽ là gì?

Zhou Yajin: Đó là một câu hỏi rất hay. Bạn bè của tôi cũng thường hỏi tôi một số lời khuyên về an toàn, và họ cũng muốn tham gia vào ngành, nhưng tôi nghe nói rằng nhiều người dường như gặp phải một số rủi ro. Chúng tôi từng nói đùa rằng nếu bạn bước vào thế giới tiền điện tử và không bị lừa đảo hoặc lừa đảo, bạn sẽ không phải là một người chơi kỳ cựu trong lĩnh vực này. Tất nhiên, đây là một trò đùa, nhưng bạn cũng có thể thấy rằng có rất nhiều rủi ro trong ngành này. Nếu tôi phải đưa ra ba gợi ý, đề xuất đầu tiên chắc chắn sẽ xuất hiện trong tâm trí mọi người là về bảo vệ khóa riêng tư. Trong lĩnh vực Crypto, cách chứng minh rằng bạn sở hữu tiền thực sự là sử dụng khóa riêng mà bạn sở hữu để chứng minh quyền sở hữu tài khoản của bạn. Khóa riêng tư là một chuỗi số, không gắn liền với danh tính cá nhân của bạn. Một khi chuỗi số này bị mất hoặc bị rò rỉ, người khác có thể kiểm soát tiền của chính bạn như bạn. Điều này rất khác với thế giới thực của chúng ta. Trong thế giới thực, nếu mật khẩu ngân hàng của bạn bị xâm phạm, bạn có thể gọi cho ngân hàng và yêu cầu đóng băng tài khoản và không ai khác có cách nào để rút tiền. Nhưng trong thế giới tiền điện tử, nếu khóa riêng tư của bạn bị xâm phạm, thì người sở hữu khóa riêng tư của bạn có thể chuyển tiền từ tài khoản của bạn mà không bị hạn chế. Nói chung, có một số cách để bảo vệ khóa riêng tư, chẳng hạn như chúng ta có ví cứng, ví hợp đồng hoặc APP điện thoại di động để bảo vệ khóa riêng tư. Mỗi phương pháp đều có những ưu nhược điểm riêng. Qua kinh nghiệm của bản thân tôi và kinh nghiệm tổng thể của một số người bạn bảo mật của chúng tôi, nguyên tắc cơ bản là cụm từ ghi nhớ của khóa riêng tư, viết nó ra và đặt nó vào két sắt, cho dù két sắt là nhà riêng của bạn hay ngân hàng, hãy giữ nó, đừng chạm vào nó, về cơ bản bạn không thể sử dụng nó. Sau đó, sử dụng một thiết bị mà bạn có thể tin tưởng tương đối tốt, cho dù đó là ví cứng hay điện thoại di động, để lưu trữ khóa riêng tư của bạn. Điện thoại này phải là một thiết bị chuyên dụng, không phải để thực hiện bất kỳ hoạt động hoạt động nào khác, chỉ để quản lý tài sản kỹ thuật số của riêng bạn. Đây là gợi ý đầu tiên. Lời khuyên thứ hai là nhận thức được tính bảo mật và rủi ro khi giao dịch trên chuỗi. Về cơ bản, bạn chỉ cần nhớ một câu: không có chiếc bánh trên bầu trời. Chúng tôi nhận thấy rằng khi giao dịch trên chuỗi, người dùng có nguy cơ lừa đảo rất cao. Nhiều KOL và OG, bao gồm cả những người trong thế giới tiền điện tử mà chúng ta quen thuộc, đã trải qua các cuộc tấn công lừa đảo và mất rất nhiều tiền. Nếu một trang web không thể giải thích được yêu cầu bạn kết nối ví của mình để nhận được cái gọi là phần thưởng airdrop, bạn cần cẩn thận hơn vào thời điểm này và lưu ý được tính bảo mật. Lời khuyên thứ ba là bạn cần biết một chút về kiến thức cơ bản về tài sản tiền điện tử. Kiến thức cơ bản đề cập đến thực tế là trong tài sản tiền điện tử, chúng ta thường có khái niệm ủy quyền. Điều này khác với tài chính truyền thống. Giả sử bạn sở hữu một loại tài sản kỹ thuật số, USDT hoặc USDC và thông qua chữ ký trên chuỗi, bạn có thể ủy quyền tài sản cho một hợp đồng hoặc những người dùng khác sử dụng nó và ủy quyền này có thể đạt được bằng cách ký một loạt những điều kỳ lạ mà bạn không thể hiểu được thông qua ví của mình. Vì vậy, khi bạn ký chữ ký ví, vì bạn không hiểu lắm hoặc bị lừa, bạn ký giao dịch được ủy quyền, sau đó người khác có thể sử dụng tất cả tài sản kỹ thuật số của bạn. Do đó, bạn cần có một chút hiểu biết cơ bản về ủy quyền, để không ký nhầm một giao dịch như vậy khi ký chữ ký ví. Tóm lại, lời khuyên cơ bản là: lời khuyên đầu tiên là bảo vệ khóa riêng của riêng bạn và đưa ra một số phương pháp hoạt động; Thứ hai là bạn cần phải luôn cẩn thận khi thực hiện các giao dịch on-chain, và bạn phải có cảm giác an toàn và không bị lừa đảo; Thứ ba là phải có hiểu biết cơ bản về cơ chế ủy quyền của Crypto, để bạn không bị ký nhầm một số giao dịch được ủy quyền.

**Alex：**Thực ra, tôi có khá nhiều bạn bè có giá trị tài sản cao, họ cũng là OG hoặc người có kinh nghiệm trong ngành, theo lý thuyết thì những nhận thức về an toàn mà bạn đề cập, họ cũng có chút ít, nhưng mỗi năm tôi lại nghe thấy có một số đại gia bên cạnh bị đánh cắp. Trong ngành có một câu nói, rằng nếu một hacker chuyên nghiệp nhắm vào bạn, anh ta biết ví của bạn có tiền, nếu anh ta sử dụng tất cả các nguồn lực có thể, bạn thường rất khó để thoát khỏi. Bạn thấy cách nói này có lý không? Thật sự là như vậy sao?

Chu Gia Kim: Câu hỏi của bạn rất hay. Thực ra vấn đề an ninh, đặc biệt là liên quan đến mã hóa Crypto, về bản chất là một cuộc đối kháng không cân bằng. Nếu ví của bạn có đủ nhiều tài sản, bạn rất dễ trở thành mục tiêu tấn công có định hướng từ người khác. Và một khi bạn trở thành mục tiêu tấn công có định hướng, người khác sẽ sử dụng rất nhiều tài nguyên, bất kể là tài nguyên xã hội, tài nguyên kỹ thuật hay các tài nguyên khác, để thiết kế phương pháp tấn công nhằm vào bạn dựa trên mô hình hành vi hàng ngày, thói quen sống, v.v. Trong tình huống này, không thể nói là một trăm phần trăm, nhưng độ khó trong việc phòng thủ là rất cao, bởi vì người khác đã sử dụng rất nhiều tài nguyên để chống lại bạn, trong khi bạn chỉ có một mình. Vì vậy, đây là một cuộc đối kháng rất không đối xứng. Trong tình huống này, tôi nghĩ nguyên tắc cơ bản đầu tiên là người Trung Quốc có câu nói là "tài không lộ phú", có nghĩa là bạn không nên công khai tài sản của mình, cần tránh để lộ mối quan hệ giữa danh tính cá nhân ngoại tuyến và danh tính tài sản trên chuỗi. Điểm thứ hai là ngay cả khi bạn là một người dùng có giá trị tài sản cao, có thể đã bị người khác lộ thông tin, thì bạn cần cố gắng làm tốt việc cách ly tài sản. Nghĩa là tài sản bạn thường xuyên giao dịch, ví chuyên dụng của bạn có thể chỉ nên chứa tối đa khoảng 100.000 đồng, nếu người khác định hướng vào bạn, tối đa chỉ có thể lừa được 100.000 đồng đó. Còn các tài sản lớn khác của bạn nên được để trong một ví mà bạn gần như không cần sử dụng hàng ngày. Nếu bạn cần sử dụng những tài sản này, bạn nên tìm chuyên gia an ninh giúp bạn xem xét một quy trình và quy chuẩn tốt hơn, cách này có thể tránh được rất nhiều rủi ro.

ấn tượng nhất ba sự kiện an toàn

**Alex：**Hiểu rồi, đề xuất này thực sự rất quan trọng. Bạn có thể chia sẻ với chúng tôi ba sự kiện an ninh ấn tượng nhất mà bạn đã trải qua trong suốt thời gian làm nghề không? Có thể là những gì bạn trực tiếp trải qua, hoặc từ những người bạn xung quanh bạn hoặc những hiểu biết của bạn.

Chu Á Kim: Tôi có thể chia sẻ với mọi người về một số sự kiện an ninh mà chúng tôi thực sự tham gia xử lý và để lại ấn tượng sâu sắc. Ví dụ đầu tiên tôi nhớ là vào khoảng giữa tháng 2 năm 2023, trên chuỗi có một giao thức gọi là giao thức vịt mỏ bị tấn công. Đây là một nền tảng kết hợp cho vay và các chức năng khác. Giao thức này có một lỗ hổng an ninh, hacker đã lợi dụng lỗ hổng này để đánh cắp gần 9 triệu USD tài sản. Điều khiến tôi ấn tượng sâu sắc về sự việc này là vì hacker đã phạm một sai lầm khi tấn công giao thức vịt mỏ. Họ cần tự phát triển khi tấn công hợp đồng thông minh.