El guardián de la seguridad en el mundo de la encriptación - Entrevista con Zhou Yajin, CEO de BlockSec

Moderador: Alex, Socio de Investigación en Mint Ventures

Invitado: Zhou Yajin, CEO de la empresa de seguridad de encriptación BlockSec

Fecha de grabación: 2025.3.28

El ámbito de servicios y los clientes objetivo de BlockSec

**Alex：**En este episodio, vamos a hablar sobre un tema que afecta a todos ustedes, que es la seguridad en el mundo de la encriptación. Antes de enfrentar riesgos reales, a menudo pensamos que no seremos víctimas de incidentes de seguridad en las noticias. Cómo construir un cortafuegos para nuestros activos y permitirnos invertir en un entorno seguro es un tema fundamental que debemos abordar antes de comenzar nuestra travesía en la encriptación. En este podcast, hemos invitado a Zhou Yajing de BlockSec para que hablemos sobre el tema de la seguridad en la encriptación. Por favor, profesor Zhou, salude a todos.

Zhou Yajin: Hola a todos, soy Zhou Yajin, actualmente soy el CEO de BlockSec y también soy investigador en ciberseguridad en la Universidad de Zhejiang, muy contento de conocer a todos.

**Alex：**Bien, entremos en el tema de hoy. Creo que muchos oyentes pueden no estar muy familiarizados con las empresas de seguridad y los servicios de seguridad en la encriptación. Por favor, profesor Zhou, preséntenos BlockSec, ¿cuáles son los servicios que ofrecen y qué tipo de personas o instituciones se convertirían en sus clientes?

Zhou Yajin: Bien, BlockSec es una empresa de seguridad Web3, fundada en 2021. Cuando se habla de la seguridad en Web3, lo primero que probablemente se le viene a la mente a la gente es la auditoría de seguridad. De hecho, el alcance de los servicios de BlockSec no se limita solo a la auditoría de seguridad, también ofrecemos una serie de otros productos y servicios de seguridad. Específicamente, los servicios se pueden dividir en tres grandes áreas. La primera área la llamamos seguridad para protocolos en la cadena. Los protocolos en la cadena son contratos inteligentes que se implementan en la blockchain para realizar algunas actividades de DeFi, NFT u otras. ¿Cómo se puede garantizar la seguridad de estos contratos? BlockSec proporciona servicios de auditoría de seguridad y productos de monitoreo de seguridad. La segunda área en la que nos enfocamos es la seguridad de los activos. La llamada seguridad de los activos se refiere a los activos que posee el usuario, por ejemplo, si esos activos están en su billetera de contrato o invertidos en algunos protocolos en la cadena, cómo garantizar la seguridad de esos activos de los usuarios también es uno de los ámbitos de servicio de BlockSec. La tercera área es la conformidad y regulación. Hemos observado que cada vez más instituciones financieras tradicionales están ingresando a la industria Crypto. Incluyendo las noticias recientes, los bancos tradicionales en Estados Unidos están emitiendo activos de monedas estables en la cadena, y Crypto está ingresando en la industria de pagos transfronterizos. De hecho, la entrada de estas instituciones financieras tradicionales en la industria ha planteado un desafío para la regulación, ya que los organismos reguladores no saben cómo supervisarlas, y estas instituciones no saben cómo cumplir con la conformidad. Por lo tanto, también estamos ayudando a los organismos reguladores a supervisar a los jugadores que ingresan a la industria Crypto, o a ayudar a estas instituciones tradicionales que ingresan a la industria Crypto a cumplir con la conformidad. Estos son los tres ámbitos de nuestro negocio.

Nuestros clientes tienen un alcance bastante amplio. Lo que todos pueden imaginar son los proyectos que hacen finanzas descentralizadas en la cadena o algunos otros servicios, como plataformas que ofrecen Lending en la cadena, plataformas que proporcionan comercio descentralizado; estos proyectos son nuestros clientes. Podemos ayudarles a realizar auditorías de seguridad antes de que desplieguen sus contratos inteligentes en la cadena, revisando desde una perspectiva de seguridad si los contratos inteligentes que desarrollan tienen vulnerabilidades. Si hay vulnerabilidades de seguridad, deben ser reparadas a tiempo. Al mismo tiempo, cuando sus protocolos se despliegan en la cadena, también contamos con una plataforma de monitoreo 7×24 horas para supervisar los riesgos de seguridad de sus protocolos. Si ocurre algún riesgo de seguridad, nuestra plataforma puede notificar de inmediato al protocolo y puede bloquear automáticamente los riesgos y ataques. Por lo tanto, los desarrolladores y proyectos que despliegan contratos inteligentes en la cadena son un tipo de cliente típico para nosotros. El segundo tipo de cliente típico son las personas que poseen activos, que pueden ser clientes de alto patrimonio neto que tienen algunos activos en billeteras de contratos, o estos clientes de alto patrimonio neto que invierten en algunos protocolos en la cadena. Nuestros servicios y productos pueden ayudarles a monitorear mejor la seguridad de los protocolos en los que invierten. Así como el anverso y el reverso de una moneda, desde la perspectiva de los proyectos de protocolo, podemos ayudarles a mejorar la seguridad de sus protocolos. Desde la perspectiva de los clientes de alto patrimonio neto que invierten en sus protocolos, podemos ayudarles a monitorear la seguridad de los protocolos en los que invierten. Si el protocolo en el que invierte tiene un riesgo de seguridad, como un ataque, necesita retirar sus fondos lo más pronto posible. El tercer tipo de cliente es el que acabo de mencionar sobre regulación y cumplimiento; este tipo de clientes son principalmente algunas agencias regulatorias, como la Comisión de Valores de Hong Kong que también es nuestro cliente, así como algunas agencias de aplicación de la ley en el extranjero que necesitan investigar delitos relacionados con criptomonedas, y requieren usar nuestras herramientas y plataformas para facilitar la extracción de pruebas, la recuperación de fondos y otras actividades de investigación. Básicamente, esta es nuestra gama de negocios y nuestros clientes.

Tres recomendaciones sobre encriptación segura

**Alex：**Entiendo, el profesor Zhou acaba de hablar sobre los tipos de clientes, qué necesidades tienen y una situación general de la industria. Entonces, la segunda pregunta puede estar más relacionada con los inversores individuales, especialmente porque muchos de nuestros oyentes son personas que recién comienzan a entrar en Web3 para aprender y probar inversiones. Si tiene un amigo que acaba de entrar en el campo de la encriptación, y sabe que usted se dedica a los servicios de seguridad en encriptación, ¿cuáles serían los tres consejos sobre seguridad en encriptación que le daría?

Zhou Yajin: Esta es una muy buena pregunta. Mis amigos a menudo me preguntan sobre consejos de seguridad, también quieren entrar en esta industria, pero han escuchado que muchas personas parecen enfrentar algunos riesgos. Solíamos tener una broma: si entras al círculo de Crypto y no has sido víctima de un phishing ni de una estafa, no habrás llegado a ser un jugador experimentado en este campo. Por supuesto, esto es una broma, pero efectivamente puedes notar que existen muchos riesgos en esta industria. Si tuviera que dar tres consejos, el primero que seguramente todos pensarían es sobre la protección de las claves privadas. En el campo de Crypto, la forma de probar que posees esos fondos es, de hecho, usando la clave privada que posees para demostrar la propiedad de esa cuenta. La clave privada es una cadena de números, que no está vinculada a tu identidad personal. Si esta cadena de números se pierde o se filtra, otras personas pueden tener el mismo control sobre tus fondos que tú. Esto es muy diferente de nuestro mundo real. En el mundo real, si se filtra tu contraseña bancaria, puedes llamar al banco y solicitar que congelen tu cuenta, y nadie más podrá sacar dinero. Pero en el mundo Crypto, si tu clave privada se filtra, quien tenga tu clave privada podrá transferir tus fondos de tu cuenta sin restricciones. Generalmente, hay varias formas de proteger la clave privada, como usar una billetera de hardware, una billetera de contrato o una aplicación en el móvil para proteger la clave privada. Cada uno de estos métodos tiene sus propias ventajas y desventajas. Basado en mi propia experiencia y la experiencia general de algunos amigos de seguridad a nuestro alrededor, el principio básico es que la frase de recuperación de la clave privada debe ser anotada y guardada en una caja fuerte, sea en tu casa o en el banco, guardada adecuadamente y no movida, ya que generalmente no la necesitarás. Luego, utiliza un dispositivo que consideres relativamente confiable, ya sea una billetera de hardware o un móvil, para almacenar tu clave privada. Este móvil debe ser un dispositivo dedicado, no debes involucrarte en ninguna otra actividad o operación, solo debe usarse para gestionar tus activos digitales. Este es el primer consejo. El segundo consejo es que, al realizar transacciones en la cadena, debes tener conciencia de seguridad y de riesgo. En esencia, solo necesitas recordar una frase: no caen tortas del cielo. Nos hemos dado cuenta de que, al realizar transacciones en la cadena, los usuarios enfrentan un gran riesgo de phishing. Muchos KOL y OG del círculo de criptomonedas que conocemos han enfrentado ataques de phishing y han perdido muchos fondos. Si un sitio web desconocido te pide que conectes tu billetera para obtener supuestas recompensas de airdrop, en ese momento debes tener mucho cuidado y tener conciencia de seguridad. El tercer consejo es que necesitas entender un poco sobre los conocimientos básicos de los activos encriptados. La base del conocimiento se refiere a que, en los activos encriptados, normalmente tenemos un concepto de autorización. Esta es una diferencia con las finanzas tradicionales. Por ejemplo, si posees un tipo de activo digital, USDT o USDC, a través de una firma en la cadena, puedes autorizar a un contrato u otro usuario a usar esos activos, y tal autorización solo necesita ser firmada a través de tu billetera, firmando una serie de cosas raras que no entiendes. Así que cuando firmes la firma de la billetera, si no comprendes bien o si eres engañado y firmas una transacción de autorización, entonces otros podrán utilizar todos tus activos digitales. Así que deberías tener un conocimiento básico sobre la autorización, para que, al firmar la firma de la billetera, no firmes erróneamente una transacción de autorización. En resumen, los consejos básicos son: primero, proteger bien tu clave privada, brindando algunos métodos operativos; segundo, ser siempre cauteloso al realizar transacciones en la cadena, tener conciencia de seguridad y no caer en phishing; tercero, tener un entendimiento básico del mecanismo de autorización de Crypto, para no firmar erróneamente algunas transacciones de autorización.

**Alex：**En realidad, tengo varios amigos de alto patrimonio neto a mi alrededor, que también son OG o veteranos en la industria. Se supone que, según la conciencia de seguridad que usted menciona, ellos deberían tener algo de conocimiento al respecto, pero cada año escucho sobre algunos grandes inversores que son robados. Hay un dicho en la industria que dice que si un hacker profesional se fija en ti, y sabe que tu billetera tiene dinero, si utiliza todos los recursos disponibles, a menudo es muy difícil escapar. ¿Cree usted que eso tiene sentido? ¿Es realmente así?

Zhou Yajing: Tu pregunta es muy buena. En realidad, el problema de la seguridad, especialmente en lo que respecta a la seguridad encriptación, es esencialmente un enfrentamiento desequilibrado. Si tu billetera tiene suficientes activos, es muy fácil que te conviertas en un objetivo de ataque dirigido. Una vez que te conviertes en el objetivo de otro, esa persona utilizará muchos recursos, ya sean recursos de ingeniería social, recursos técnicos u otros, para diseñar métodos de ataque dirigidos a ti, basándose en tus patrones de conducta diaria, hábitos de vida, etc. En esta situación, no se puede decir que sea cien por ciento seguro, pero la dificultad de defensa es muy alta, porque otros han movilizado muchos recursos en tu contra, mientras que tú solo tienes a ti mismo. Por lo tanto, es un enfrentamiento muy asimétrico. En esta situación, creo que el principio básico, primero, es que tenemos un dicho en China que dice 'el dinero no debe mostrar riqueza', es decir, no debes hacer público los activos que posees, debes evitar revelar la relación entre tu identidad personal fuera de línea y tu identidad de activos en la cadena. En segundo lugar, incluso si eres un usuario de alto valor neto y ya has sido expuesto, debes hacer todo lo posible para aislar tus activos. Es decir, los activos que utilizas en tus operaciones diarias, en la billetera dedicada puede que no superen los 100,000, entonces si alguien te ataca, solo podrá robar esos 100,000. Y tus otros activos deben estar en una billetera que normalmente no necesites utilizar. Si necesitas acceder a esos activos, debes buscar a un experto en seguridad para que te ayude a revisar un conjunto de procedimientos y normas de operación bastante buenos, así podrás evitar un gran riesgo.

Los tres eventos de seguridad que más me impresionaron

**Alex：**Entiendo, esta sugerencia es realmente muy importante. ¿Podría compartir con nosotros tres eventos de seguridad que le hayan dejado una impresión profunda desde que comenzó en la industria? Pueden ser experiencias que usted haya vivido personalmente, o relatos de amigos cercanos o de lo que ha observado.

Zhou Yajing: Puedo compartir con todos ustedes un evento de seguridad en el que hemos participado personalmente y que nos ha dejado una profunda impresión. El primer ejemplo que recuerdo fue alrededor del 10 de febrero de 2023, cuando un protocolo en la cadena fue atacado. Era una plataforma que combinaba préstamos con otras funcionalidades. Este protocolo tenía una vulnerabilidad de seguridad, y los hackers pudieron aprovechar esta vulnerabilidad, aproximadamente