Gardien de la sécurité du monde du chiffrement - Interview de Zhou Yajin, PDG de BlockSec

Animateur : Alex, partenaire de recherche chez Mint Ventures

Invité : Zhou Yajin, PDG de la société de sécurité blockchain BlockSec

Heure d'enregistrement : 2025.3.28

La portée des services de BlockSec et ses clients cibles

Alex : Dans cet épisode, nous allons aborder un sujet qui concerne chacun d'entre vous, à savoir la sécurité dans le monde du chiffrement. Avant de faire face à de véritables risques, nous pensons souvent que nous ne serons pas victimes d'incidents de sécurité dans les nouvelles. Comment construire un pare-feu pour protéger nos actifs et investir dans un environnement sécurisé est une question essentielle à traiter avant de commencer notre voyage dans le chiffrement. Dans ce podcast, nous avons invité Zhou Yajing de BlockSec pour discuter avec nous de la sécurité dans le chiffrement. Monsieur Zhou, pourriez-vous nous dire bonjour ?

Zhou Yajin : Bonjour à tous, je suis Zhou Yajin, actuellement CEO chez BlockSec, et je suis également chercheur en cybersécurité à l'Université de Zhejiang, très heureux de vous rencontrer.

Alex : D'accord, entrons dans le vif du sujet d'aujourd'hui. Je crois que pas mal d'auditeurs ne sont peut-être pas très familiers avec les entreprises de sécurité et les services de sécurité liés au chiffrement. Pourriez-vous, professeur Zhou, nous donner une introduction à BlockSec, quels types de services vous proposez, et quel type de personnes ou d'institutions deviendront vos clients ?

Zhou Yajin : D'accord, BlockSec est une entreprise de sécurité Web3, fondée en 2021. Quand on parle de la sécurité de Web3, la première chose qui vient à l'esprit est probablement l'audit de sécurité. En réalité, le champ d'activité de BlockSec ne se limite pas à l'audit de sécurité, nous proposons également une gamme d'autres produits et services de sécurité. Plus précisément, nos services peuvent être divisés en trois grands volets. Le premier volet est ce que nous appelons la sécurité des protocoles on-chain. Les protocoles on-chain sont des contrats intelligents déployés sur la blockchain pour effectuer des activités telles que DeFi ou NFT, ou d'autres activités. Comment garantir la sécurité de ces contrats ? BlockSec propose des services d'audit de sécurité et des produits de surveillance de sécurité. Le deuxième aspect sur lequel nous nous concentrons est la sécurité des actifs. La sécurité des actifs fait référence aux actifs que les utilisateurs possèdent, par exemple, ces actifs sont dans leur portefeuille de contrats ou investis dans certains protocoles on-chain. Comment garantir la sécurité de ces actifs des utilisateurs est également l'un des domaines de service de BlockSec. Le troisième aspect concerne la conformité et la régulation. Nous avons constaté que de plus en plus d'institutions financières traditionnelles entrent dans l'industrie Crypto. Par exemple, nous avons récemment vu des nouvelles sur des banques traditionnelles américaines émettant des actifs de stablecoin sur la blockchain, y compris l'entrée de la Crypto dans le secteur des paiements transfrontaliers. En réalité, l'entrée de ces institutions financières traditionnelles dans ce secteur pose un problème de régulation, car les régulateurs ne savent pas comment surveiller ces institutions, et ces institutions ne savent pas comment se conformer. Ainsi, nous aidons également les régulateurs à surveiller ces acteurs qui entrent dans l'industrie Crypto, ou à aider ces institutions traditionnelles qui entrent dans l'industrie Crypto à se conformer. Voici les trois domaines de notre activité.

Nos clients ont un large éventail de couvertures. Ce que tout le monde peut imaginer, ce sont des projets qui font de la finance décentralisée ou d'autres services sur la chaîne, comme des plateformes qui offrent du Lending sur la chaîne ou des plateformes d'échange décentralisées ; ces projets sont nos clients. Nous pouvons les aider à effectuer des audits de sécurité avant le déploiement de contrats intelligents sur la chaîne, en examinant leur contrat intelligent développé sous un angle de sécurité pour vérifier s'il contient des vulnérabilités. Si des vulnérabilités de sécurité sont trouvées, il est nécessaire de les corriger rapidement. De plus, lorsque leur protocole est déployé sur la chaîne, nous avons également une plateforme de surveillance 7×24 heures pour surveiller les risques de sécurité de leur protocole. En cas de risque de sécurité, notre plateforme peut notifier le protocole en temps opportun et peut automatiser le blocage des risques et des attaques. Ainsi, les développeurs et les projets qui déploient des contrats intelligents sur la chaîne sont une catégorie de clients typiques pour nous. La deuxième catégorie de clients typiques est constituée de personnes possédant des actifs, qui peuvent être des clients à haute valeur nette. Ils ont certains actifs dans des portefeuilles de contrats ou ces clients à haute valeur nette investissent dans certains protocoles sur la chaîne. Nos services et produits peuvent les aider à mieux surveiller la sécurité des protocoles dans lesquels ils investissent. Comme le recto et le verso d'une pièce, du point de vue des projets de protocole, nous pouvons les aider à améliorer la sécurité de leurs protocoles. Du point de vue des clients à haute valeur nette qui investissent dans leurs protocoles, nous pouvons les aider à surveiller la sécurité des protocoles dans lesquels ils investissent. Une fois qu'un protocole dans lequel il a investi présente un risque de sécurité, par exemple s'il est attaqué, il doit pouvoir retirer ses fonds en premier temps. La troisième catégorie de clients, c'est ce dont je parlais tout à l'heure, la réglementation et la conformité. Cette catégorie de clients est principalement constituée d'organismes de réglementation, comme la Commission des valeurs mobilières de Hong Kong, qui est également notre cliente, ainsi que certaines agences d'application de la loi à l'étranger. Lorsqu'ils doivent enquêter sur des crimes liés aux monnaies numériques, ils ont besoin d'utiliser nos outils et notre plateforme pour faciliter l'extraction de preuves, la traçabilité des fonds et d'autres activités d'enquête. C'est essentiellement notre gamme d'activités et de clients.

Trois conseils sur la sécurité du chiffrement

Alex : Je comprends, tout à l'heure, M. Zhou a parlé des types de clients, quels sont leurs besoins et une vue d'ensemble de l'industrie. La deuxième question sera peut-être plus liée aux investisseurs particuliers, surtout que beaucoup de nos auditeurs commencent à entrer dans le Web3 pour apprendre et essayer d'investir. Si vous avez un ami qui vient d'entrer dans le domaine de l'investissement en chiffrement et qui sait que vous offrez des services de sécurité en chiffrement, quels seraient les trois conseils que vous lui donneriez concernant la sécurité en chiffrement ?

Zhou Yajin : Cette question est très bonne. Mes amis me posent souvent des questions de sécurité, ils souhaitent également entrer dans ce secteur, mais ils entendent dire qu'il semble que beaucoup de gens rencontrent des risques. Nous avons une blague : si, après être entré dans le cercle Crypto, vous n'avez pas été victime de phishing ni escroqué, vous ne serez pas considéré comme un joueur expérimenté dans ce domaine. Bien sûr, c'est une blague, mais il est vrai que vous pouvez constater qu'il existe de nombreux risques dans ce secteur. Si je devais donner trois conseils, le premier serait celui auquel tout le monde penserait, à savoir la protection des clés privées. Dans le domaine Crypto, la manière de prouver que vous possédez des fonds est en réalité d'utiliser la clé privée que vous possédez pour prouver votre propriété de ce compte. La clé privée est une série de chiffres, qui n'est pas liée à votre identité personnelle. Une fois que cette série de chiffres est perdue ou divulguée, d'autres peuvent avoir le même contrôle sur vos fonds que vous. Cela diffère énormément de notre monde réel. Dans le monde réel, si votre mot de passe bancaire est divulgué, vous pouvez appeler la banque pour demander le gel de votre compte, et d'autres ne peuvent pas retirer d'argent. Mais dans le monde Crypto, si votre clé privée est divulguée, la personne qui possède votre clé privée peut transférer vos fonds de votre compte sans aucune restriction. En général, il existe plusieurs méthodes pour protéger la clé privée, par exemple, nous avons des portefeuilles matériels, des portefeuilles de contrats ou des applications sur mobile pour protéger la clé privée. Chaque méthode a ses propres avantages et inconvénients. D'après mon expérience personnelle et l'expérience globale de quelques amis de la sécurité autour de moi, le principe de base est de mémoriser les mots de passe de votre clé privée, de les noter et de les placer dans un coffre-fort, qu'il soit chez vous ou à la banque, de bien les conserver et de ne pas y toucher au quotidien, car vous n'en aurez pas besoin. Ensuite, utilisez un appareil relativement fiable, qu'il s'agisse d'un portefeuille matériel ou d'un smartphone, pour bien stocker votre clé privée. Ce smartphone doit être un appareil dédié, ne pas être utilisé pour d'autres activités, mais uniquement pour gérer vos actifs numériques. C'est le premier conseil. Le deuxième conseil est d'avoir toujours conscience de la sécurité et des risques lors des transactions sur la chaîne. En essence, il suffit de se rappeler d'une phrase : il n'y a pas de repas gratuit. Nous avons constaté que lors des transactions sur la chaîne, les utilisateurs sont confrontés à un grand risque de phishing. De nombreux KOL et OG bien connus du cercle crypto ont également été victimes d'attaques de phishing et ont perdu beaucoup de fonds. Si un site Web inconnu vous demande de connecter votre portefeuille pour obtenir une prétendue récompense d'airdrop, il est nécessaire d'être très prudent et d'avoir conscience de la sécurité. Le troisième conseil est que vous devez avoir une compréhension de base des actifs numériques. La connaissance de base fait référence au fait que dans les actifs numériques, nous avons généralement le concept d'autorisation. C'est un aspect qui diffère de la finance traditionnelle. Par exemple, si vous possédez un type d'actif numérique, USDT ou USDC, par la signature sur la chaîne, vous pouvez autoriser un contrat ou un autre utilisateur à utiliser ces actifs, et cette autorisation peut être réalisée simplement en signant avec votre portefeuille une série de choses étranges que vous ne comprenez pas. Donc, lorsque vous signez une signature de portefeuille, si vous ne comprenez pas bien ou êtes trompé, et que vous signez une transaction d'autorisation, alors d'autres peuvent utiliser tous vos actifs numériques. Vous devez donc avoir une compréhension de base de l'autorisation, afin de ne pas signer par erreur de telles transactions. En résumé, les conseils sont essentiellement : le premier est de bien protéger votre clé privée, avec quelques méthodes pratiques ; le deuxième est d'être toujours prudent lors des transactions sur la chaîne, d'avoir conscience de la sécurité pour ne pas être victime de phishing ; le troisième est d'avoir une compréhension de base du mécanisme d'autorisation en Crypto, afin de ne pas signer par erreur des transactions d'autorisation.

Alex : J'ai en fait pas mal d'amis à haute valeur nette autour de moi, qui sont également des OG ou des vétérans dans l'industrie. En théorie, ces consciences de sécurité que vous mentionnez, ils en ont tous un peu, mais chaque année, j'entends parler de gros investisseurs qui se font voler. Il y a un dicton dans l'industrie qui dit que si un hacker professionnel vous cible et sait que votre portefeuille est riche, s'il utilise toutes les ressources à sa disposition, il est souvent très difficile d'échapper à cela. Pensez-vous que ce soit vrai ? Est-ce vraiment le cas ?

Zhou Yajin : Votre question est très bonne. En fait, la question de la sécurité, en particulier lorsqu’il s’agit de la sécurité des cryptomonnaies, est essentiellement une confrontation déséquilibrée. Si vous avez suffisamment d’actifs dans votre portefeuille, vous pouvez facilement devenir la cible d’attaques ciblées. Une fois que vous devenez la cible de l’attaque ciblée de quelqu’un d’autre, d’autres utiliseront beaucoup de ressources, qu’il s’agisse de travailleurs sociaux, de ressources techniques ou d’autres ressources, pour concevoir des méthodes d’attaque contre vous en fonction des modèles de comportement quotidiens et des habitudes de vie de la cible. Dans ce cas, vous ne pouvez pas dire à 100 %, mais la difficulté de votre défense est très élevée, car les autres utilisent beaucoup de ressources contre vous, et vous n’avez que vous-même. C’est donc une confrontation très asymétrique. Dans ce cas, je pense que le principe de base, le premier, est que nous, les Chinois, avons un dicton qui dit que la richesse ne montre pas la richesse, c’est-à-dire que vous ne devez pas divulguer les actifs que vous possédez et éviter de divulguer la relation identitaire entre votre identité personnelle hors ligne et les actifs on-chain. Le deuxième point est que même si vous êtes un utilisateur fortuné et que vous avez peut-être été divulgué par d’autres, vous devez faire un bon travail de séparation des actifs autant que possible. C’est-à-dire que les actifs avec lesquels vous opérez habituellement quotidiennement peuvent aller jusqu’à 100 000 yuans dans le portefeuille dédié, et les autres ne peuvent escroquer que les 100 000 yuans au maximum. Et beaucoup de vos autres actifs devraient se trouver dans un portefeuille que vous n’avez généralement pas besoin d’utiliser. Si vous avez besoin d’utiliser ces ressources, vous devez trouver un expert en sécurité pour vous aider à examiner un ensemble de meilleurs processus et spécifications opérationnels, ce qui peut éviter des risques très importants.

Les trois événements de sécurité les plus marquants

Alex : Je comprends, cette suggestion est en effet très importante. Pourriez-vous nous parler des trois événements de sécurité qui vous ont le plus marqué depuis que vous travaillez dans ce domaine ? Cela peut être des expériences personnelles, des anecdotes d'amis ou ce que vous avez observé.

Zhou Yajin : Je peux partager avec vous un incident de sécurité dont nous avons personnellement traité et qui m'a particulièrement marqué. Le premier exemple dont je me souviens remonte à une dizaine de jours en février 2023, où un protocole sur la chaîne a été attaqué. C'était une plateforme de prêt avec d'autres fonctionnalités. Ce protocole avait une vulnérabilité de sécurité, que les hackers ont exploitée, environ