O Guardião da Segurança no Mundo da Encriptação - Entrevista com o CEO da BlockSec, Zhou Yajin

Moderador: Alex, parceiro de pesquisa da Mint Ventures

Convidado: Zhou Yajing, CEO da empresa de segurança em encriptação BlockSec

Gravação: 2025.3.28

O escopo de serviços e os clientes-alvo da BlockSec

Alex: No episódio de hoje, vamos falar sobre um tópico que está intimamente relacionado a todos vocês, que é a segurança no mundo da encriptação. Antes de enfrentarmos riscos reais, muitas vezes pensamos que não seremos vítimas de eventos de segurança nas notícias. Como construir um firewall para nossos ativos e investir em um ambiente seguro é uma lição essencial antes de começarmos nossa jornada na encriptação. Hoje, convidamos Zhou Yajing da BlockSec para conversar conosco sobre o tema da segurança em encriptação. Professor Zhou, poderia nos cumprimentar?

Zhou Yajin: Olá a todos, eu sou Zhou Yajin, atualmente sou CEO da BlockSec e também sou pesquisador em segurança cibernética na Universidade de Zhejiang. Estou muito feliz em conhecer todos vocês.

**Alex：**Tudo bem, vamos entrar no tema de hoje. Acredito que muitos dos ouvintes podem não estar tão familiarizados com as empresas de segurança e os serviços de segurança no mundo da encriptação. Professor Zhou, poderia nos apresentar a BlockSec? Quais são os serviços que vocês oferecem e que tipo de pessoas ou instituições se tornariam seus clientes?

Zhou Yajin: Tudo bem, a BlockSec é uma empresa de segurança Web3, fundada em 2021. Quando se fala em segurança Web3, a primeira coisa que vem à mente é a auditoria de segurança. Na verdade, o escopo de negócios da BlockSec não se limita apenas à auditoria de segurança; também oferecemos uma série de outros produtos e serviços de segurança. Especificamente, os serviços podem ser divididos em três grandes áreas. A primeira área chamamos de segurança para protocolos em cadeia. Protocolos em cadeia referem-se a contratos inteligentes que são implantados na blockchain para realizar algumas atividades de DeFi, NFT ou outras atividades. Como garantir a segurança desses contratos? A BlockSec oferece serviços de auditoria de segurança e produtos de monitoramento de segurança. A segunda área em que focamos é a segurança dos ativos. A segurança dos ativos refere-se aos ativos que os usuários possuem, por exemplo, esses ativos estão em suas carteiras de contrato ou investidos em alguns protocolos em cadeia. Como garantir a segurança desses ativos dos usuários também é uma das áreas de serviço da BlockSec. A terceira área é a conformidade e regulamentação. Observamos que cada vez mais instituições financeiras tradicionais estão entrando na indústria de Crypto. Incluindo as notícias recentes que vimos sobre bancos tradicionais nos EUA emitindo ativos em stablecoin na blockchain, e a Crypto entrando na indústria de pagamentos transfronteiriços. Na verdade, a entrada dessas instituições financeiras tradicionais na indústria apresenta um desafio regulatório, pois as autoridades reguladoras não sabem como regulamentar, e essas instituições não sabem como estar em conformidade. Portanto, também estamos ajudando as autoridades reguladoras a supervisionar os jogadores que entram na indústria de Crypto, ou ajudando essas instituições tradicionais a se conformarem ao entrar na indústria de Crypto. Esses são os três escopos de nossos negócios.

A nossa clientela abrange uma gama bastante ampla. O que todos podem imaginar são os projetos que fazem finanças descentralizadas na blockchain ou outros tipos de serviços, como por exemplo, plataformas que oferecem Lending na blockchain, ou plataformas de negociação descentralizadas; esses projetos são nossos clientes. Podemos ajudá-los a realizar auditorias de segurança antes de implementarem contratos inteligentes na blockchain, revisando a partir de uma perspectiva de segurança se os contratos inteligentes que desenvolveram têm vulnerabilidades. Se houver vulnerabilidades de segurança, elas precisam ser corrigidas imediatamente. Além disso, quando os seus protocolos são implementados na blockchain, também teremos uma plataforma de monitorização 7×24 horas para monitorar os riscos de segurança dos seus protocolos. Se ocorrer qualquer risco de segurança, a nossa plataforma pode notificar imediatamente o protocolo e pode automatizar a interrupção de riscos e ataques. Portanto, os desenvolvedores e projetos que implementam contratos inteligentes na blockchain são uma classe típica de clientes nossos. A segunda classe típica de clientes é composta por pessoas que possuem ativos, podendo ser alguns clientes de alto patrimônio líquido, que possuem alguns ativos em carteiras de contratos, ou esses clientes de alto patrimônio líquido que investem em alguns protocolos na blockchain. Os nossos serviços e produtos podem ajudá-los a monitorizar melhor a segurança dos protocolos em que investem. Assim como as faces de uma moeda, do ponto de vista dos projetos de protocolo, podemos ajudá-los a aumentar a segurança dos protocolos. Do ponto de vista dos clientes de alto patrimônio líquido que investem nos seus protocolos, podemos ajudá-los a monitorizar a segurança dos protocolos em que investem. Assim que um protocolo em que ele investe apresenta riscos de segurança, por exemplo, se for atacado, ele precisa ser capaz de retirar os seus fundos imediatamente. A terceira classe de clientes é a que mencionei antes, relacionada à regulamentação e conformidade. Esta classe de clientes é composta principalmente por algumas entidades reguladoras, como a Comissão de Valores Mobiliários de Hong Kong que também é nosso cliente, além de algumas agências de aplicação da lei no exterior que precisam investigar crimes relacionados com criptomoedas; elas precisam usar as nossas ferramentas e plataformas para facilitar atividades de extração de provas, rastreamento de fundos, entre outras investigações. Esta é basicamente a nossa gama de negócios e a nossa clientela.

Sobre três recomendações para a encriptação de segurança

Alex: Entendi, o professor Zhou acabou de falar sobre os tipos de clientes, quais são suas necessidades e uma visão geral da situação do setor. Então, a segunda pergunta pode estar mais relacionada a investidores individuais, especialmente porque temos muitos ouvintes que estão apenas começando a entrar no Web3 para aprender e tentar investir. Se você tiver um amigo que acabou de entrar no campo de encriptação, e ele sabe que você trabalha com serviços de segurança em encriptação, quais seriam os três conselhos que você daria a ele sobre segurança em encriptação?

Zhou Yajin: Esta questão é muito boa. Os amigos ao meu redor também costumam me perguntar algumas recomendações de segurança, eles também querem entrar nesta indústria, mas ouviram que muitas pessoas parecem enfrentar alguns riscos. Temos uma piada: se você entrar no círculo Crypto e não for vítima de phishing, nem for enganado, você não se tornará um jogador experiente neste campo. Claro que isso é uma piada, mas de fato você pode perceber que existem muitos riscos nesta indústria. Se eu tivesse que dar três recomendações, a primeira seria aquela que todo mundo certamente pensaria, que é sobre a proteção da chave privada. No campo Crypto, como provar que você possui esses fundos, na verdade, é usar a chave privada que você possui para provar a propriedade da conta. A chave privada é uma sequência de números e não está vinculada à sua identidade pessoal. Uma vez que essa sequência de números é perdida ou vazada, outras pessoas podem ter o controle dos seus fundos assim como você. Isso é muito diferente do nosso mundo real. No mundo real, se sua senha bancária vazar, você pode ligar para o banco e pedir para congelar a conta, e outras pessoas não conseguem retirar dinheiro. Mas no mundo Crypto, se sua chave privada vazar, quem a possui pode transferir ilimitadamente seus fundos da sua conta. Geralmente, existem algumas maneiras de proteger a chave privada, como usar carteiras de hardware, carteiras de contrato ou aplicativos de celular para proteger a chave privada. Cada método tem suas próprias vantagens e desvantagens. Com a minha própria experiência e a experiência geral de alguns amigos de segurança ao meu redor, o princípio básico é que a frase de recuperação da chave privada deve ser anotada e guardada em um cofre, seja em sua própria casa ou no banco, e mantida segura, você basicamente não precisará dela no dia a dia. Em seguida, use um dispositivo que você considere relativamente confiável, seja uma carteira de hardware ou um celular, para armazenar sua chave privada. Esse celular deve ser um dispositivo dedicado, não deve ser usado para realizar qualquer outra atividade, apenas para gerenciar seus ativos digitais. Essa é a primeira recomendação. A segunda recomendação é que ao realizar transações na blockchain, você deve ter consciência de segurança e riscos. Essencialmente, você só precisa lembrar de uma frase: não existem almoços grátis. Nós descobrimos que ao realizar transações na blockchain, os usuários enfrentam um grande risco de phishing. Muitos KOLs e OGs do círculo de criptomoedas que conhecemos já enfrentaram ataques de phishing e perderam muito dinheiro. Se um site desconhecido pedir para você conectar sua carteira para obter uma suposta recompensa de airdrop, você precisa ser cauteloso e ter consciência de segurança. A terceira recomendação é que você precisa entender um pouco sobre o conhecimento básico de ativos criptográficos. O conhecimento básico se refere ao conceito de autorização dentro dos ativos criptográficos. Esse é um ponto que difere das finanças tradicionais. Por exemplo, se você possui um tipo de ativo digital, como USDT ou USDC, através da assinatura na blockchain, você pode autorizar um contrato ou outro usuário a utilizar esses ativos, e essa autorização só requer que você assine uma série de coisas estranhas que você não entende. Portanto, ao assinar a assinatura da carteira, se você não entender muito bem ou for enganado e assinar uma transação de autorização, outras pessoas poderão usar todos os seus ativos digitais. Portanto, você deve ter um conhecimento básico sobre autorizações para que não assine erroneamente esse tipo de transação. Resumindo, as recomendações básicas são: a primeira é proteger bem sua chave privada, fornecendo métodos práticos; a segunda é estar sempre atento e ter consciência de segurança ao realizar transações na blockchain para não ser vítima de phishing; a terceira é ter um entendimento básico do mecanismo de autorização do Crypto, para que você não assine erroneamente transações de autorização.

**Alex：**Na verdade, tenho muitos amigos de alto patrimônio ao meu redor, que também são OGs ou veteranos na indústria. Em teoria, todos eles têm um certo nível de consciência sobre segurança, como você mencionou, mas todo ano ouço falar de alguns grandes investidores sendo roubados. Há um ditado na indústria que diz que se um hacker profissional estiver de olho em você e souber que sua carteira tem dinheiro, se ele mobilizar todos os recursos disponíveis, é muito difícil escapar. Você acha que essa afirmação faz sentido? É realmente assim?

Zhou Yajin: Essa é uma ótima pergunta. Na verdade, a questão da segurança, especialmente quando se trata da segurança da encriptação, é essencialmente um confronto desequilibrado. Se a sua carteira possui uma quantidade suficiente de ativos, você se torna um alvo muito fácil para ataques direcionados. E uma vez que você se torna um alvo, os outros utilizarão muitos recursos, sejam eles recursos de engenharia social, recursos técnicos ou outros, para projetar métodos de ataque direcionados com base no padrão de comportamento diário e nos hábitos de vida da pessoa. Nesse cenário, não se pode dizer que seja 100% seguro, mas a dificuldade de defesa é realmente alta, porque os outros estão usando muitos recursos contra você, enquanto você tem apenas a si mesmo. Portanto, é um confronto muito assimétrico. Nesse contexto, acredito que os princípios básicos são, primeiro, que temos um ditado na China que diz "a riqueza não deve ser exposta", ou seja, você não deve tornar públicos os ativos que possui e deve evitar vazar a relação entre sua identidade offline e sua identidade de ativos na blockchain. O segundo ponto é que, mesmo que você seja um usuário de alto patrimônio, e talvez já tenha sido exposto, você precisa fazer o possível para isolar seus ativos. Em outras palavras, os ativos que você utiliza nas operações diárias devem estar em uma carteira específica, que pode ter no máximo 100 mil, assim, se alguém direcionar um ataque a você, o máximo que poderá roubar são esses 100 mil. E todos os seus outros ativos significativos devem estar em uma carteira que você não precisa acessar frequentemente. Se você precisar utilizar esses ativos, deve procurar um especialista em segurança para ajudá-lo a revisar um bom fluxo e normas de operação, isso pode evitar riscos significativos.

Os três eventos de segurança que mais me marcaram

**Alex：**Entendido, essa sugestão é realmente muito importante. Você poderia compartilhar conosco os três incidentes de segurança que mais o impressionaram durante sua carreira? Podem ser experiências que você viveu pessoalmente, ou relatos de amigos ou algumas coisas que você ouviu.

Zhou Yajin: Posso compartilhar com todos vocês um incidente de segurança que participamos pessoalmente e que me deixou uma impressão bastante forte. O primeiro exemplo que lembro é que em meados de fevereiro de 2023, um protocolo na blockchain foi atacado. Era uma plataforma que combinava empréstimos com outras funcionalidades. Esse protocolo tinha uma vulnerabilidade de segurança, e os hackers exploraram essa vulnerabilidade, aproximadamente