Şifreleme dünyasının güvenlik bekçisi - BlockSec CEO'su Zhou Yajin ile röportaj metni

Sunucu: Alex, Mint Ventures Araştırma Ortağı

Konuk: Zhou Yajin, Blockchain güvenlik şirketi BlockSec CEO'su

Kayıt zamanı: 2025.3.28

BlockSec'in hizmet alanı ve hedef müşterileri

**Alex：**Bu bölümde sizlerle bağlantılı bir konu olan şifreleme dünyasının güvenliğini konuşacağız. Gerçek risklerle karşılaşmadan önce genellikle kendimizin haberlerdeki güvenlik olaylarının kurbanı olmayacağını düşünürüz. Varlıklarımız için bir güvenlik duvarı oluşturmak ve güvenli bir ortamda yatırım yapmak, şifreleme yolculuğumuza başlamadan önceki zorunlu bir konudur. Bu bölümde BlockSec'ten Zhou Yajin'i davet ettik, bize şifreleme güvenliği konusunu anlatacak. Zhou öğretmenimiz, lütfen bize bir merhaba deyin.

Zhou Yajin: Merhaba, ben Zhou Yajin, şu anda BlockSec'te CEO olarak çalışıyorum, aynı zamanda Zhejiang Üniversitesi'nde siber uzay güvenliği alanında araştırmacıyım, herkesle tanıştığıma çok memnun oldum.

**Alex：**Tamam, bugün konumuza geçelim. Sanırım birçok dinleyicinin şifreleme güvenlik şirketleri ve güvenlik hizmetleri hakkında çok fazla bilgisi yok. Lütfen öğretmen Zhou, bize BlockSec'i tanıtır mısınız? Hangi hizmetleri sunuyorsunuz ve hangi tür insanlar veya kurumlar sizin müşteriniz olabilir?

Zhou Yajin: Tamam, BlockSec bir Web3 güvenlik şirketidir, 2021 yılında kuruldu. Web3 güvenliğinden bahsederken, herkesin aklına ilk gelen şey güvenlik denetimi olabilir. Aslında BlockSec'in iş kapsamı sadece güvenlik denetimi ile sınırlı değil, ayrıca bir dizi diğer güvenlik ürünleri ve hizmetleri sunuyoruz. Özellikle, hizmetler üç ana alana ayrılabilir. İlk alan, zincir üzerindeki protokollere yönelik güvenliği adını verdiğimiz alandır. Zincir üzerindeki protokoller, blok zinciri üzerinde bazı DeFi veya NFT veya diğer etkinlikler için dağıtılan akıllı sözleşmelerdir. Bu sözleşmelerin güvenliği nasıl sağlanmalıdır? BlockSec, güvenli denetim hizmetleri ve güvenlik izleme ürünleri sunmaktadır. İkinci olarak, üzerinde durduğumuz konu varlık güvenliğidir. Varlık güvenliği, kullanıcının sahip olduğu varlıkların güvenliğidir, örneğin bu varlıklar kendi sözleşme cüzdanlarında veya bazı zincir üzerindeki protokollere yatırılmış olabilir. Bu kullanıcı varlıklarının güvenliğini sağlamak da BlockSec'in hizmet kapsamlarından biridir. Üçüncü alan ise uyum ve denetimdir. Görüyoruz ki giderek daha fazla geleneksel finans kurumu kripto endüstrisine giriyor. Son zamanlarda, ABD'deki geleneksel bankaların zincir üzerinde bazı stabil coin varlıkları yayınladığını ve kriptonun sınır ötesi ödeme sektörüne girdiğini görebiliyoruz. Aslında, bu geleneksel finans kurumları sektöre girdikten sonra, denetim kurumlarına bir zorluk getiriyor; denetim kurumları nasıl denetleyeceğini bilmiyor, bu kurumlar da nasıl uyum sağlayacaklarını bilmiyor. Bu nedenle, denetim kurumlarına kripto endüstrisine giren bu oyuncuları denetlemeleri konusunda yardımcı oluyoruz veya kripto endüstrisine giren bu geleneksel kurumların uyum sağlamalarına yardımcı oluyoruz. Bu da işimizin üç alanıdır.

Müşterilerimizin kapsamı oldukça geniş. Akla gelen, zincir üzerinde merkeziyetsiz finans veya diğer bazı hizmet projeleri sunan taraflardır. Örneğin, zincir üzerinde Lending platformu sağlayan, merkeziyetsiz ticaret platformu sunan bu projeler bizim müşterilerimizdir. Akıllı sözleşmelerin zincire dağıtımından önce, onlara güvenli bir denetim yaparak, geliştirdikleri akıllı sözleşmelerde güvenlik açığı olup olmadığını güvenlik perspektifinden gözden geçirebiliriz. Eğer güvenlik açığı varsa, zamanında düzeltme yapılması gerekir. Ayrıca, protokolleri zincire dağıtıldıktan sonra, protokolün güvenlik risklerini izlemek için 7×24 saat çalışan bir izleme platformumuz olacaktır. Herhangi bir güvenlik riski meydana geldiğinde, platformumuz protokole zamanında bildirimde bulunabilir ve riski ve saldırıları otomatik olarak durdurabilir. Bu nedenle, zincir üzerinde akıllı sözleşme dağıtan bu geliştiriciler ve projeler, bizim tipik müşterilerimizden biridir. İkinci tip tipik müşterimiz ise varlık sahibi olan kişilerdir, muhtemelen bazı yüksek net değerli müşterilerdir. Bu kişiler, akıllı cüzdanlarında bazı varlıklara sahip olabilir veya bu yüksek net değerli müşteriler zincir üzerinde bazı protokollere yatırım yapabilir. Hizmetlerimiz ve ürünlerimiz, yatırım yaptıkları protokollerin güvenliğini daha iyi izlemelerine yardımcı olabilir. Tıpkı bir madalyonun yüzü ve tersi gibi, protokol projeleri açısından, onların protokollerinin güvenliğini artırmalarına yardımcı olabiliriz. Protokollerine yatırım yapan yüksek net değerli müşterilerin perspektifinden, yatırım yaptığı protokollerin güvenliğini izlemelerine yardımcı olabiliriz. Eğer yatırdığı protokollerde güvenlik riski oluşursa, örneğin saldırıya uğrarsa, ilk anda fonlarını geri çekebilmesi gerekir. Üçüncü müşteri grubu ise az önce bahsettiğim düzenleyici ve uyumdur. Bu tür müşteriler esas olarak bazı düzenleyici kurumlar, örneğin Hong Kong Menkul Kıymetler ve Borsa Komisyonu da bizim müşterimizdir, ayrıca yurt dışında bazı uygulama kurumları, dijital para suçlarıyla ilgili soruşturmalar yapmak için bizim araçlarımızı ve platformlarımızı kullanmaları gerekir. Bu, esasen genel iş modelimiz ve müşterilerimizin kapsamıdır.

Şifreleme güvenliği ile ilgili üç öneri

Alex: Anladım, az önce öğretmen Zhou müşterilerin türlerinden, onların ihtiyaçlarından ve genel sektör durumundan bahsetti. İkinci soru muhtemelen bireysel yatırımcılarla daha fazla ilişkili, özellikle dinleyicilerimizin çoğu Web3'e yeni giren ve yatırım yapmayı öğrenip deneyen kişiler. Eğer çevrenizde yeni şifreleme yatırım alanına girmiş bir arkadaşınız varsa ve sizin şifreleme güvenliği hizmetleriyle ilgilendiğinizi biliyorsa, ona şifreleme güvenliği ile ilgili üç tavsiye verseniz, o tavsiyeler hangileri olurdu?

Zhou Yajin: Bu soru çok iyi. Yanımda bulunan arkadaşlarım da bana sık sık bazı güvenlik önerileri soruyorlar, bu sektöre girmek istiyorlar ama birçok insanın bazı risklerle karşılaştığını duyuyorlar. Bir zamanlar şaka yollu bir sözümüz vardı: Eğer Crypto dünyasına girdikten sonra, ne oltaya düşersen ne de dolandırılırsan, bu alanda deneyimli bir oyuncu olamazsın. Tabii ki bu bir şaka, ama gerçekten bu sektörde birçok riskin bulunduğunu görebilirsiniz. Üç öneri vermek gerekirse, birincisi herkesin aklına gelecek olan, özel anahtar koruması ile ilgilidir. Crypto alanında, bu fonlara sahip olduğunuzu kanıtlamanın yolu, sahip olduğunuz özel anahtar ile bu hesabın mülkiyetini kanıtlamaktır. Özel anahtar, bir dizi rakamdır ve bu, kişisel kimliğinizle hiçbir şekilde bağlı değildir. Bu dizi kaybolursa veya sızdırılırsa, başkaları sizinle aynı şekilde kendi fonlarınızın kontrolünü elde edebilir. Bu, gerçek dünyamızla çok farklı. Gerçek dünyada, banka şifreniz sızdırıldığında, bankayı arayıp hesabı dondurmasını isteyebilirsiniz, başkalarının para çekmesi mümkün olmaz. Ama Crypto dünyasında, eğer özel anahtarınız sızdırılırsa, o özel anahtara sahip olan kişi, hesabınızdaki fonları sınırsız bir şekilde transfer edebilir. Genellikle özel anahtarı korumanın birkaç yolu vardır, örneğin donanım cüzdanı kullanmak, akıllı cüzdan veya cep telefonu uygulaması ile özel anahtarı korumak. Her bir yöntem aslında kendi avantajları ve dezavantajları vardır. Kendi deneyimim ve çevremdeki bazı güvenlik arkadaşlarının genel deneyimlerine dayanarak, temel prensip özel anahtarın kurtarma kelimelerini yazmak ve bir kasada saklamaktır, bu kasa ya kendi evinizde ya da bankada olabilir, onu iyi saklayın, genellikle kullanmazsınız. Sonra, özel anahtarınızı saklamak için, ne olursa olsun güvenilir bir cihaz kullanın, ister donanım cüzdanı ister cep telefonunuz olsun. Bu telefon kesinlikle özel bir cihaz olmalı, başka herhangi bir işlem yapmamak için sadece dijital varlıklarınızı yönetmek için kullanılmalıdır. Bu birinci öneri. İkinci öneri, zincir üzerindeki işlemlerinizde güvenlik ve risk bilincine sahip olmanız gerektiğidir. Temelde aklınızda bulundurmanız gereken bir cümle var: Gökyüzünden pasta düşmez. Zincir üzerindeki işlemler sırasında kullanıcıların karşılaştığı oltalama riski oldukça yüksektir. Ayrıca, tanıdığımız birçok Crypto KOL ve OG oltalama saldırılarıyla karşılaşmış ve büyük kayıplar yaşamıştır. Eğer tanımadığınız bir web sitesi, cüzdanınızı bağlamanızı ve sözde airdrop ödüllerini almanızı istiyorsa, bu durumda dikkatli olmalı ve güvenlik bilincine sahip olmalısınız. Üçüncü öneri, biraz şifreleme varlıklarının temel bilgilerini anlamanız gerektiğidir. Temel bilgi, şifreleme varlıkları içinde genellikle bir yetkilendirme kavramının olduğudur. Bu, geleneksel finansdan oldukça farklı bir noktadır. Örneğin, bir tür dijital varlığa, USDT veya USDC sahip olduğunuzda, zincir üzerindeki imza ile bu varlığı bir akıma veya diğer kullanıcılara kullanmaları için yetkilendirebilirsiniz ve bu yetkilendirme, cüzdanınız ile anlamadığınız tuhaf bir dizi şeyi imzalayarak gerçekleştirilebilir. Bu yüzden cüzdan imzasını imzalarken, anlamadığınız veya kandırılmış olduğunuz için yetkilendirilmiş bir işlemi imzalarsanız, başkaları tüm dijital varlıklarınızı kullanabilir. Bu nedenle, yetkilendirme konusunda biraz temel bilgiye sahip olmalısınız ki, cüzdan imzasını imzalarken yanlış bir yetkilendirilmiş işlem imzalamayın. Özetle, temel öneriler: Birincisi, özel anahtarınızı iyi koruyun, bazı uygulanabilir yöntemler verdim; ikincisi, zincir üzerindeki işlemleri yaparken her zaman dikkatli olmalısınız, oltalamalara karşı güvenlik bilincine sahip olmalısınız; üçüncüsü, Crypto'nun yetkilendirme mekanizması hakkında temel bilgiye sahip olmalısınız, böylece yanlışlıkla yetkilendirilmiş işlemleri imzalamazsınız.

**Alex：**Etrafımda aslında birçok yüksek net değere sahip arkadaşım var, onlar da sektördeki OG veya eski ustalar. Mantıken, sizin bahsettiğiniz bu güvenlik bilinci, onların bir miktar sahip olması gereken bir şey, ancak her yıl etrafımda bazı büyük yatırımcıların soyguna uğradığını duyuyorum. Sektörde bir söylem var, eğer profesyonel bir hacker sizi hedef alırsa, cüzdanınızın zengin olduğunu biliyorsa, tüm kullanılabilir kaynakları kullanırsa, genellikle ondan kaçmak oldukça zor. Bu tür bir söylemin mantıklı olduğunu düşünüyor musunuz? Gerçekten öyle mi?

Zhou Yajin: Bu sorunuz çok iyi. Aslında güvenlik sorunu, özellikle Crypto güvenliği söz konusu olduğunda, temelde dengesiz bir karşılaşmadır. Cüzdanınızda yeterince varlık varsa, başkalarının hedefli saldırılarının hedefi olmanız çok kolaydır. Ve bir kez başkalarının hedefli saldırılarının hedefi olduğunuzda, diğerleri çok fazla kaynak kullanacaktır; bu, sosyal mühendislik kaynakları, teknik kaynaklar veya diğer kaynaklar olabilir ve hedefin günlük davranış kalıplarına, yaşam alışkanlıklarına vb. göre size yönelik saldırı yöntemleri tasarlayacaklardır. Bu durumda, yüzde yüz diyemeyiz ama savunmanızın zorluğu oldukça yüksektir, çünkü diğerleri sizinle karşı karşıya gelmek için çok fazla kaynak kullanmıştır, oysa siz sadece kendinizsiniz. Bu, oldukça asimetrik bir çatışmadır. Bu durumda, temel ilke olarak, ilk olarak biz Çinlilerin "zenginliğinizi gizlemek" diye bir sözü var; yani sahip olduğunuz varlıkları açıkça göstermemelisiniz, kişisel çevrimdışı kimliğiniz ile zincir üzerindeki varlık kimliğiniz arasındaki ilişkiyi ifşa etmekten kaçınmalısınız. İkinci nokta, eğer yüksek net değerli bir kullanıcıysanız, belki de başkaları tarafından ifşa edilmişsinizdir, bu yüzden varlıklarınızı mümkün olduğunca izole etmelisiniz. Yani, günlük işlemlerinizde kullandığınız varlıklar, özel bir cüzdanda en fazla 100.000 dolar olmalıdır; başkaları sizi hedef aldığında, en fazla bu 100.000 doları alabilirler. Diğer büyük varlıklarınızı ise genellikle kullanılmayan bir cüzdanda saklamalısınız. Eğer bu varlıkları kullanmanız gerekiyorsa, güvenlik uzmanlarından yardım alarak daha iyi bir işlem süreci ve standartları gözden geçirmeniz gerekir; bu da büyük risklerden kaçınmanıza yardımcı olabilir.

En çok aklımda kalan üç güvenlik olayı

**Alex：**Anladım, bu öneri gerçekten çok önemli. Bizimle kariyeriniz boyunca en çok etkilendiğiniz üç güvenlik olayını paylaşabilir misiniz? Bu olaylar kişisel deneyimleriniz olabilir veya çevrenizdeki arkadaşlarınızdan ya da bazı gözlemlerinizden kaynaklanabilir.

Zhou Yajin: Herkese, gerçekten yerinde müdahale ettiğimiz ve oldukça derin izlenim bırakan güvenlik olaylarından birini paylaşabilirim. Hatırladığım ilk örnek, 2023'ün Şubat ayının onuncu günü civarında, zincirde bir protokolün saldırıya uğramasıydı. Bu, bir borç verme ve diğer işlevleri birleştiren bir platformdu. Bu protokolde bir güvenlik açığı vardı, hackerlar bu açığı kullanarak, yaklaşık...