Sécurisation du monde du chiffrement : Entretien avec Zhou Yajin, CEO de BlockSec

Animateur : Alex, partenaire de recherche chez Mint Ventures

Invité : Zhou Yajing, PDG de la société de sécurité blockchain BlockSec

Date d'enregistrement : 2025.3.28

Le domaine des services de BlockSec et ses clients cibles

Alex : Dans cet épisode, nous allons aborder un sujet qui nous concerne tous, à savoir la sécurité dans le monde du chiffrement. Avant de faire face à de réels risques, nous avons souvent l'impression de ne pas être les victimes d'incidents de sécurité rapportés dans les nouvelles. Comment construire un pare-feu pour protéger nos actifs et investir dans un environnement sécurisé est une question essentielle avant de commencer notre voyage dans le chiffrement. Pour ce podcast, nous avons invité Zhou Yajin de la société de sécurité blockchain BlockSec, pour discuter de la sécurité du chiffrement. Professeur Zhou, pourriez-vous nous dire bonjour ?

Zhou Yajin : Bonjour à tous, je suis Zhou Yajin, actuellement CEO chez BlockSec, et je suis également chercheur en cybersécurité à l'Université de Zhejiang. Très heureux de vous rencontrer.

Alex : D'accord, entrons dans le vif du sujet. Je crois que beaucoup d'auditeurs ne connaissent pas très bien les entreprises et les services de sécurité liés au chiffrement. Pourriez-vous, professeur Zhou, nous présenter BlockSec ? Quels types de services proposez-vous, et quels types de personnes ou d'institutions deviendraient vos clients ?

Zhou Yajing : BlockSec est une entreprise de sécurité Web3 que nous avons fondée en 2021. Quand on parle de la sécurité de Web3, la première chose qui vient à l'esprit est probablement l'audit de sécurité. En réalité, le champ d'activité de BlockSec ne se limite pas à l'audit de sécurité, nous proposons également une gamme d'autres produits et services de sécurité. Plus précisément, nos services peuvent être divisés en trois grandes catégories. La première catégorie est ce que nous appelons la sécurité des protocoles on-chain. Les protocoles on-chain font référence aux smart contracts déployés sur la blockchain pour réaliser certaines activités de DeFi, de NFT ou d'autres. Comment garantir la sécurité de ces contrats ? BlockSec offre des services d'audit de sécurité et des produits de surveillance sécurisée. La deuxième catégorie sur laquelle nous nous concentrons est la sécurité des actifs. La sécurité des actifs fait référence aux actifs que les utilisateurs détiennent, par exemple, ces actifs peuvent être dans leur portefeuille de contrats ou investis dans certains protocoles on-chain. Comment garantir la sécurité de ces actifs des utilisateurs est également l'un des domaines de service de BlockSec. La troisième catégorie concerne la conformité et la réglementation. Nous avons constaté que de plus en plus d'institutions financières traditionnelles entrent dans l'industrie Crypto. Par exemple, nous avons récemment vu des nouvelles concernant ces banques traditionnelles américaines émettant des actifs de stablecoins sur la blockchain, ainsi que l'entrée de la Crypto dans le secteur des paiements transfrontaliers. En réalité, l'entrée de ces institutions financières traditionnelles dans ce secteur pose un défi de réglementation, car les régulateurs ne savent pas comment réguler, et ces institutions ne savent pas comment se conformer. Nous aidons donc également les régulateurs à superviser les acteurs entrant dans l'industrie Crypto, ou à aider ces institutions traditionnelles à se conformer lorsqu'elles entrent dans l'industrie Crypto. Ce sont les trois domaines de notre activité.

Notre clientèle est assez large. Ce à quoi tout le monde peut penser, ce sont les projets qui font de la finance décentralisée sur la chaîne ou d'autres types de services, comme les plateformes fournissant des prêts sur la chaîne, ou celles offrant des échanges décentralisés. Ces projets font partie de notre clientèle. Nous pouvons les aider à effectuer des audits sécuritaires avant que leurs contrats intelligents ne soient déployés sur la chaîne, en révisant du point de vue de la sécurité s'ils présentent des vulnérabilités. S'il y a des vulnérabilités, elles doivent être corrigées rapidement. De plus, une fois que leurs protocoles sont déployés sur la chaîne, nous avons également une plateforme de surveillance 7×24 heures pour surveiller les risques de sécurité de leurs protocoles. En cas de risque de sécurité, notre plateforme peut notifier rapidement le protocole et peut automatiser la prévention des risques et des attaques. Ainsi, les développeurs et les projets déployant des contrats intelligents sur la chaîne sont un type de clients typiques pour nous. Le deuxième type de clients typiques est constitué des personnes possédant des actifs, peut-être des clients à haute valeur nette, qui détiennent des actifs dans des portefeuilles de contrats ou qui investissent dans certains protocoles sur la chaîne. Nos services et produits peuvent les aider à mieux surveiller la sécurité des protocoles dans lesquels ils investissent. Comme les faces d'une pièce, du point de vue des projets de protocoles, nous pouvons les aider à améliorer la sécurité de leurs protocoles. Du point de vue des clients à haute valeur nette qui investissent dans leurs protocoles, nous pouvons les aider à surveiller la sécurité des protocoles dans lesquels ils investissent. Une fois qu'un protocole dans lequel il a investi présente un risque de sécurité, par exemple s'il est attaqué, il doit pouvoir retirer ses fonds immédiatement. Le troisième type de clients est celui dont j'ai parlé précédemment, à savoir les régulateurs et la conformité. Ce type de clients est principalement constitué d'organismes de régulation, comme la Commission des valeurs mobilières de Hong Kong, qui est également notre cliente, ainsi que certaines agences d'application de la loi à l'étranger, qui doivent enquêter sur des crimes liés aux monnaies numériques. Ils ont besoin d'utiliser nos outils et plateformes pour faciliter l'extraction de preuves, le traçage des fonds et d'autres activités d'enquête. C'est essentiellement la portée de notre activité et de notre clientèle.

Trois conseils sur la sécurité du chiffrement

Alex : Je comprends, tout à l'heure, M. Zhou a parlé des types de clients, de leurs besoins et d'une vue d'ensemble de l'industrie. Donc, la deuxième question est probablement plus liée aux investisseurs individuels, surtout que beaucoup de nos auditeurs sont des personnes qui viennent juste de commencer à entrer dans le Web3 pour apprendre et essayer d'investir. Si vous avez un ami qui vient d'entrer dans le domaine de l'investissement en chiffrement et qui sait que vous offrez des services de sécurité en chiffrement, pourriez-vous lui donner trois conseils sur la sécurité en chiffrement ? Quels seraient les trois conseils que vous lui donneriez ?

Zhou Yajin : Cette question est très bonne. Mes amis autour de moi me posent souvent des questions sur des conseils de sécurité, ils veulent aussi entrer dans ce domaine, mais ils entendent aussi dire que beaucoup de gens rencontrent des risques. Nous avons une blague disant : si vous entrez dans le cercle Crypto et que vous n'avez pas été victime de phishing ni escroqué, vous ne deviendrez pas un joueur expérimenté dans ce domaine. Bien sûr, c'est une blague, mais il est vrai que l'on peut constater qu'il existe de nombreux risques dans cette industrie. Si je devais donner trois conseils, le premier serait certainement celui auquel tout le monde pense, à savoir la protection des clés privées. Dans le domaine Crypto, la manière de prouver que vous possédez ces fonds est en fait d'utiliser la clé privée que vous possédez pour prouver votre propriété de ce compte. La clé privée est une chaîne de chiffres qui n'est pas liée à votre identité personnelle. Une fois cette chaîne de chiffres perdue ou divulguée, d'autres peuvent avoir le même contrôle sur vos fonds que vous. Cela est très différent de notre monde réel. Dans le monde réel, si votre mot de passe bancaire est divulgué, vous pouvez appeler la banque pour demander le gel du compte, et personne ne pourra retirer de l'argent. Mais dans le monde Crypto, si votre clé privée est divulguée, alors celui qui possède votre clé privée peut transférer vos fonds de votre compte sans aucune restriction. En général, il existe plusieurs façons de protéger votre clé privée, comme utiliser un portefeuille matériel, un portefeuille de contrat ou une application sur votre téléphone pour protéger votre clé privée. Chaque méthode a ses propres avantages et inconvénients. D'après ma propre expérience ainsi que l'expérience globale de quelques amis de sécurité autour de nous, le principe de base est de noter les mots de passe de votre clé privée et de les mettre dans un coffre-fort, peu importe que ce coffre-fort soit chez vous ou à la banque, stockez-le bien et ne le touchez pas, en général, vous n'en aurez pas besoin. Ensuite, utilisez un appareil relativement fiable, que ce soit un portefeuille matériel ou un téléphone, pour stocker votre clé privée. Ce téléphone doit absolument être un appareil dédié, ne pas s'engager dans d'autres activités, juste pour gérer vos actifs numériques. C'est le premier conseil. Le deuxième conseil est d'avoir une conscience de sécurité et des risques lors des transactions sur la chaîne. Essentiellement, vous devez vous souvenir d'une phrase : il n'y a pas de cadeau qui tombe du ciel. Nous avons constaté que lors des transactions sur la chaîne, les utilisateurs sont confrontés à un risque de phishing très important. De nombreux KOL et OG bien connus dans le cercle de la cryptographie ont également été victimes d'attaques de phishing et ont perdu beaucoup de fonds. Si un site inconnu vous demande de connecter votre portefeuille pour obtenir une soi-disant récompense d'airdrop, vous devez faire très attention et avoir conscience de la sécurité. Le troisième conseil est que vous devez comprendre un peu les connaissances de base sur les actifs cryptographiques. Les connaissances de base font référence au fait qu'il existe généralement un concept d'autorisation dans les actifs cryptographiques. C'est quelque chose de différent de la finance traditionnelle. Par exemple, si vous possédez un type d'actif numérique, USDT ou USDC, grâce à une signature sur la chaîne, vous pouvez autoriser un contrat ou d'autres utilisateurs à utiliser ces actifs, et ce type d'autorisation ne nécessite que la signature d'une série de choses étranges que vous ne comprenez pas sur votre portefeuille. Donc, lorsque vous signez avec votre portefeuille, si vous ne comprenez pas ou si vous êtes trompé et que vous signez une transaction d'autorisation, alors d'autres peuvent utiliser tous vos actifs numériques. Vous devez donc avoir une compréhension de base de ce qu'est l'autorisation, afin de ne pas signer par erreur ce type de transaction d'autorisation lorsque vous signez avec votre portefeuille. En résumé, les conseils de base sont : le premier est de bien protéger votre clé privée, en fournissant quelques méthodes exploitables ; le deuxième est d'être toujours prudent lors des transactions sur la chaîne, d'avoir conscience de la sécurité pour ne pas être victime de phishing ; le troisième est d'avoir une compréhension de base du mécanisme d'autorisation de Crypto, afin de ne pas signer par erreur certaines transactions d'autorisation.

Alex : J'ai en fait pas mal d'amis à valeur nette élevée autour de moi, qui sont aussi des OG ou des vétérans dans l'industrie. En théorie, ceux que vous mentionnez ont un certain niveau de conscience de la sécurité, mais chaque année, j'entends parler de certains gros investisseurs qui se font voler. Il y a un dicton dans l'industrie qui dit que si un hacker professionnel s'intéresse à vous et sait que votre portefeuille est bien garni, s'il utilise toutes les ressources à sa disposition, il est souvent très difficile d'échapper à cela. Pensez-vous que ce soit vrai ? Est-ce vraiment le cas ?

Zhou Yajing : Votre question est très pertinente. En réalité, la question de la sécurité, en particulier en ce qui concerne le chiffrement, est fondamentalement un affrontement déséquilibré. Si votre portefeuille contient suffisamment d'actifs, vous devenez facilement la cible d'attaques ciblées. Une fois que vous êtes devenu la cible d'une attaque, les autres déploieront de nombreuses ressources, qu'il s'agisse de ressources humaines, techniques ou autres, pour concevoir des méthodes d'attaque basées sur vos comportements quotidiens, vos habitudes de vie, etc. Dans cette situation, il ne faut pas dire que c'est impossible, mais la difficulté de défense est très élevée, car les autres mobilisent beaucoup de ressources contre vous, alors que vous ne disposez que de vous-même. Ainsi, c'est un affrontement très asymétrique. Dans cette situation, je pense qu'il y a des principes de base. Le premier est que nous, les Chinois, avons un dicton qui dit que la richesse ne doit pas être affichée, ce qui signifie que vous ne devez pas rendre publics vos actifs. Il faut éviter de divulguer la relation entre votre identité hors ligne et votre identité d'actifs en ligne. Le deuxième point est que même si vous êtes un utilisateur à haute valeur nette, il se peut que vous ayez déjà été exposé. Par conséquent, vous devez faire tout votre possible pour isoler vos actifs. Cela signifie que les actifs que vous utilisez quotidiennement dans des portefeuilles dédiés ne devraient pas dépasser 100 000, car si quelqu'un vous cible, il ne pourra vous voler que ces 100 000. Vos autres actifs importants devraient être placés dans un portefeuille que vous n’avez généralement pas besoin d'utiliser. Si vous avez besoin d'utiliser ces actifs, vous devez demander à un expert en sécurité de vous aider à examiner un ensemble de bonnes procédures et normes opérationnelles, ce qui peut éviter des risques considérables.

Les trois événements de sécurité les plus marquants

Alex : Je comprends, cette suggestion est en effet très importante. Pourriez-vous nous partager les trois événements de sécurité qui vous ont le plus marqué depuis que vous exercez ? Cela peut être des expériences personnelles, des anecdotes d'amis ou certaines choses que vous avez observées.

Zhou Yajin : Je peux partager avec vous un incident de sécurité auquel nous avons personnellement participé et qui m'a particulièrement marqué. Le premier exemple dont je me souviens remonte à la quinzaine de février 2023, où un protocole sur la blockchain a été attaqué. C'était une plateforme de prêt avec d'autres fonctionnalités. Ce protocole avait une faille de sécurité, et les hackers ont exploité cette faille pour...