Segurança na encriptação mundial: conversa com o CEO da BlockSec, Zhou Yajin

Moderador: Alex, Partner de Pesquisa da Mint Ventures

Convidado: Zhou Yajin, CEO da empresa de segurança em encriptação BlockSec

Data da gravação: 2025.3.28

O escopo de serviços e os clientes-alvo da BlockSec

Alex: Neste episódio, vamos falar sobre um tópico que está intimamente relacionado a todos vocês, que é a segurança no mundo da encriptação. Antes de enfrentarmos riscos reais, muitas vezes pensamos que não seremos vítimas de incidentes de segurança nas notícias. Como construir um firewall para nossos ativos e investir em um ambiente seguro é um tema essencial que devemos abordar antes de começarmos nossa jornada na encriptação. Neste podcast, temos o prazer de receber Zhou Yajin, da empresa de segurança em blockchain BlockSec, para discutir o tema da segurança em encriptação. Professor Zhou, poderia nos cumprimentar?

Zhou Yajin: Olá a todos, eu sou Zhou Yajin, atualmente sou CEO da BlockSec, e também sou pesquisador em segurança cibernética na Universidade de Zhejiang, muito feliz em conhecer todos vocês.

**Alex：**Tudo bem, vamos entrar no tema de hoje. Acredito que muitos dos ouvintes podem não estar tão familiarizados com as empresas de segurança em encriptação e os serviços de segurança. Professor Zhou, poderia nos apresentar a BlockSec? Quais são os serviços que vocês oferecem e que tipo de pessoas ou instituições se tornariam seus clientes?

Zhou Yajing: A BlockSec é uma empresa de segurança Web3, fundada em 2021. Quando se fala sobre a segurança do Web3, a primeira coisa que vem à mente é a auditoria de segurança. Na verdade, o escopo de serviços da BlockSec não se limita apenas à auditoria de segurança; também fornecemos uma série de outros produtos e serviços de segurança. Especificamente, nossos serviços podem ser divididos em três grandes áreas. A primeira área chamamos de segurança para protocolos on-chain. Protocolos on-chain referem-se a contratos inteligentes que são implantados na blockchain para realizar algumas atividades DeFi ou NFT, ou outras atividades. Como garantir a segurança desses contratos? A BlockSec fornece serviços de auditoria de segurança e produtos de monitoramento de segurança. A segunda área em que estamos mais focados é a segurança dos ativos. A segurança dos ativos refere-se aos ativos que os usuários possuem, por exemplo, se esses ativos estão em suas carteiras de contratos ou investidos em alguns protocolos on-chain; como garantir a segurança desses ativos dos usuários também é uma das áreas de serviço da BlockSec. A terceira área é conformidade e regulação. Observamos que cada vez mais instituições financeiras tradicionais estão entrando na indústria Crypto. Incluindo as notícias recentes que temos visto, os bancos tradicionais dos EUA estão emitindo ativos em stablecoin on-chain, e a Crypto está entrando na indústria de pagamentos transfronteiriços. De fato, a entrada dessas instituições financeiras tradicionais na indústria traz um desafio para a regulação, pois os reguladores não sabem como supervisionar, e essas instituições não sabem como estar em conformidade. Portanto, também estamos ajudando os reguladores a monitorar os jogadores que entram na indústria Crypto, ou ajudando as instituições tradicionais a se conformarem ao entrar na indústria Crypto. Essas são as três áreas do nosso negócio.

A nossa gama de clientes é bastante ampla. O que todos conseguem imaginar são os projetos que realizam finanças descentralizadas na blockchain ou outros serviços, como plataformas que oferecem Lending na blockchain ou plataformas de negociação descentralizada; esses projetos são nossos clientes. Podemos ajudá-los a realizar auditorias de segurança antes da implementação dos contratos inteligentes na blockchain, revisando sob uma perspectiva de segurança se os contratos inteligentes que desenvolveram possuem vulnerabilidades. Se houver vulnerabilidades de segurança, é necessário corrigi-las prontamente. Além disso, quando os seus protocolos são implementados na blockchain, também teremos uma plataforma de monitoramento 24 horas por dia, 7 dias por semana, para monitorar os riscos de segurança dos seus protocolos. Se ocorrer qualquer risco de segurança, a nossa plataforma pode notificar o protocolo de forma imediata e pode automaticamente bloquear riscos e ataques. Portanto, os desenvolvedores e projetos que implementam contratos inteligentes na blockchain são um tipo típico de cliente nosso. O segundo tipo típico de cliente são as pessoas que possuem ativos, possivelmente alguns clientes de alto patrimônio líquido, que possuem ativos em carteiras de contrato, ou esses clientes de alto patrimônio líquido podem investir em alguns protocolos na blockchain. Os nossos serviços e produtos podem ajudá-los a monitorar melhor a segurança dos protocolos em que investem. Assim como o lado positivo e negativo de uma moeda, sob a perspectiva dos projetos de protocolo, podemos ajudá-los a melhorar a segurança dos protocolos. Sob a perspectiva dos clientes de alto patrimônio líquido que investem nos seus protocolos, podemos ajudá-los a monitorar a segurança dos protocolos em que investem. Assim que um protocolo em que investiram apresentar um risco de segurança, como um ataque, eles precisam ser capazes de retirar os seus fundos imediatamente. O terceiro tipo de cliente é o que mencionei sobre regulamentação e conformidade; este tipo de cliente é principalmente algumas entidades reguladoras, como a Comissão de Valores Mobiliários de Hong Kong, que também é nosso cliente, além de algumas agências de aplicação da lei no exterior, que precisam investigar crimes relacionados a moedas digitais e necessitam usar as nossas ferramentas e plataformas para facilitar a extração de evidências, rastreamento de fundos e outras atividades de investigação. Basicamente, esta é a nossa gama de negócios e de clientes.

Sobre a encriptação segurança três pontos recomendações

**Alex：**Entendi, o Professor Zhou acabou de falar sobre os tipos de clientes, quais são as suas necessidades e uma visão geral da situação do setor. Então, a segunda pergunta pode estar mais relacionada aos investidores individuais, especialmente porque muitos dos nossos ouvintes são pessoas que acabaram de começar a entrar no Web3 para aprender e tentar investir. Se você tiver um amigo que acabou de entrar no campo da encriptação, e ele sabe que você trabalha com serviços de segurança de encriptação, quais seriam os três conselhos que você daria a ele sobre segurança de encriptação?

Zhou Yajin: Essa é uma pergunta muito boa. Os meus amigos também me pedem frequentemente alguns conselhos de segurança e também querem entrar na indústria, mas ouvi dizer que muitas pessoas parecem encontrar alguns riscos. Nós costumávamos brincar que se você entrasse no mundo cripto e não fosse enganado ou enganado, você não seria um jogador veterano no campo. Claro, isso é uma piada, mas você também pode ver que há muitos riscos nesta indústria. Se eu tivesse que fazer três sugestões, a primeira que certamente viria à mente de todos era sobre a proteção de chaves privadas. No campo Crypto, como provar que você possui os fundos é, na verdade, usar a chave privada que você possui para provar sua propriedade da conta. Uma chave privada é uma sequência de números, que não está ligada à sua identidade pessoal. Uma vez que essa sequência de números é perdida ou vazada, outra pessoa pode ter o mesmo controle sobre seus próprios fundos que você. Isto é muito diferente do nosso mundo real. No mundo real, se a sua senha bancária estiver comprometida, você pode ligar para o banco e pedir que a conta seja congelada, e ninguém mais tem como sacar dinheiro. Mas no mundo cripto, se sua chave privada for comprometida, a pessoa em posse de sua chave privada pode transferir seus fundos de sua conta sem restrições. De um modo geral, existem várias formas de proteger a chave privada, como por exemplo temos uma carteira de hardware, uma carteira de contrato ou uma APP de telemóvel para proteger a chave privada. Cada método tem suas próprias vantagens e desvantagens. Através da minha própria experiência e da experiência geral de alguns dos nossos amigos de segurança, o princípio básico é a frase mnemónica da chave privada, escreva-a e coloque-a no cofre, quer o cofre seja a sua própria casa ou o banco, guarde-a, não toque nela, basicamente não pode usá-la. Em seguida, use um dispositivo em que você possa confiar relativamente bem, seja uma carteira de hardware ou um telefone celular, para armazenar suas chaves privadas. Este telefone deve ser um dispositivo dedicado, não para fazer quaisquer outras atividades operacionais, apenas para gerenciar seus próprios ativos digitais. Esta é a primeira sugestão. O segundo conselho é estar ciente da segurança e dos riscos ao realizar transações on-chain. Essencialmente, você só tem que se lembrar de uma frase: não há torta no céu. Descobrimos que, ao transacionar on-chain, os usuários estão expostos a um risco muito alto de phishing. Muitos KOLs e OGs, incluindo aqueles no mundo cripto com os quais estamos familiarizados, sofreram ataques de phishing e perderam muito dinheiro. Se um site inexplicável pede que você conecte sua carteira para obter a chamada recompensa airdrop, você precisa ter mais cuidado neste momento e estar ciente da segurança. O terceiro conselho é que você precisa saber um pouco sobre o básico de criptoativos. O conhecimento básico refere-se ao fato de que, em criptoativos, geralmente temos o conceito de autorização. Isto é diferente das finanças tradicionais. Digamos que você possui um tipo de ativo digital, USDT ou USDC, e através de assinaturas on-chain, você pode autorizar o ativo para um contrato ou outros usuários para usá-lo, e essa autorização pode ser alcançada assinando um monte de coisas estranhas que você não consegue entender através de sua carteira. Então, quando você assina a assinatura da carteira, porque você não entende bem ou é enganado, você assina a transação autorizada, então outra pessoa pode usar todos os seus ativos digitais. Portanto, você precisa ter um pouco de compreensão básica de autorização, para que você não assine tal transação por engano ao assinar a assinatura da carteira. Em suma, o conselho básico é: o primeiro é proteger a sua própria chave privada e dar alguns métodos operacionais; A segunda é que você precisa ter cuidado em todos os momentos ao realizar transações on-chain, e você deve ter uma sensação de segurança e não ser enganado; O terceiro é ter uma compreensão básica do mecanismo de autorização do Crypto, para que você não assine erroneamente algumas transações autorizadas.

Alex： Na verdade, tenho muitos amigos de alto patrimônio ao meu redor, que também são OG ou veteranos na indústria. Em teoria, eles têm um certo nível de consciência de segurança, como você mencionou, mas todos os anos ouço falar de alguns grandes investidores que foram roubados. Na indústria, há um ditado que diz que se um hacker profissional se fixar em você, ele sabe que sua carteira é valiosa e, se ele usar todos os recursos disponíveis, é muito difícil escapar. Você acha que esse ditado faz sentido? É realmente assim?

Zhou Yajin: A sua pergunta é muito boa. Na verdade, a questão da segurança, especialmente quando se trata da segurança de encriptação, é essencialmente um confronto assimétrico. Se a sua carteira possui uma quantidade suficiente de ativos, você se torna um alvo fácil para ataques direcionados. E uma vez que você se torna um alvo, os atacantes irão empregar muitos recursos, sejam recursos de engenharia social, recursos técnicos ou outros, para desenhar métodos de ataque baseados no seu comportamento diário e hábitos de vida. Nessa situação, não se pode dizer que é 100% impossível, mas a dificuldade de defesa é extremamente alta, pois os atacantes utilizam muitos recursos contra você, enquanto você conta apenas com você mesmo. Portanto, é um confronto muito assimétrico. Dentro desse contexto, eu acredito que os princípios básicos são os seguintes: a primeira é que temos um ditado na China que diz 'não mostre a riqueza', ou seja, você não deve tornar públicos os ativos que possui, evitando revelar a relação entre sua identidade offline e a identidade dos ativos na blockchain. O segundo ponto é que mesmo se você for um usuário de alto valor líquido, pode já ter sido exposto por outros, então você deve fazer o possível para isolar seus ativos. Isso significa que os ativos que você opera diariamente, o máximo que deve ter em uma carteira dedicada é de 100 mil, para que, se alguém direcionar um ataque a você, no máximo conseguirá roubar esses 100 mil. E seus outros ativos significativos devem estar em uma carteira que você quase não precisa acessar. Se você precisar acessar esses ativos, deve procurar especialistas em segurança para revisar um processo e normas operacionais adequadas, assim poderá evitar riscos significativos.

Os três eventos de segurança que mais me impressionaram

Alex: Entendi, esta sugestão é realmente muito importante. Você poderia compartilhar conosco os três incidentes de segurança mais memoráveis que você já presenciou em sua carreira? Podem ser experiências que você viveu pessoalmente, ou casos de amigos ou algumas observações suas.

Zhou Yajin: Posso compartilhar com todos vocês um evento de segurança que nós realmente participamos pessoalmente e que deixou uma impressão bastante profunda. O primeiro exemplo que me lembro foi em meados de fevereiro de 2023, quando um protocolo na blockchain foi atacado. Era uma plataforma que combinava empréstimos com outras funcionalidades. Esse protocolo tinha uma vulnerabilidade de segurança, e os hackers exploraram essa brecha, começando...