暗号の世界におけるセキュリティ:BlockSecのCEOであるYajin Zhou氏との対談

司会者：アレックス、ミント・ベンチャーズの研究パートナー

ゲスト：周亚金、ブロックチェーンセキュリティ会社BlockSecのCEO

収録時間:2025年3月28日

BlockSecのサービス範囲とターゲット顧客

**アレックス：**今回の番組では、皆さんにとって非常に関連性のあるテーマ、つまり暗号化の世界の安全性について話します。本当のリスクに直面する前に、自分がニュースで報じられる安全事件の被害者になることはないと思っていることがよくあります。自分の資産のためにファイアウォールを構築し、安全な環境で投資することは、暗号化の旅を始める前に必ず学ぶべき課題です。今回のポッドキャストには、ブロックチェーンセキュリティ会社BlockSecの周亚金さんをお招きし、暗号化の安全性についてお話ししていただきます。周先生、私たちに挨拶をお願いします。

**周亚金：**皆さん、こんにちは。私は周亚金で、現在 BlockSec の CEO を務めています。また、浙江大学でサイバー空間の安全に関する研究を行っている研究者でもあります。皆さんにお会いできてとても嬉しいです。

**アレックス：**わかりました、では今日の本題に入りましょう。多くの聴衆はブロックチェーンのセキュリティ企業やセキュリティサービスについてあまり知らないかもしれません。周先生、まずBlockSecについて紹介していただけますか？あなたたちが提供しているサービス内容はどのようなもので、どのような人々や機関があなたたちの顧客になるのでしょうか。

**周亚金：**BlockSec は Web3 セキュリティ会社で、2021 年に設立されました。Web3 のセキュリティについて話すと、皆が最初に思い浮かべるのはセキュリティ監査です。実際、BlockSec の業務範囲はセキュリティ監査だけではなく、他にも多くのセキュリティ製品とサービスを提供しています。具体的には、サービスは三つの大きなセクターに分けられます。第一のセクターは、オンチェーンプロトコルのセキュリティです。オンチェーンプロトコルとは、私たちがブロックチェーン上に展開する DeFi や NFT、その他の活動のためのスマートコントラクトのことです。これらのコントラクトのセキュリティはどのように確保されるべきでしょうか？BlockSec はセキュリティ監査サービスとセキュリティ監視製品を提供しています。第二のセクターは資産のセキュリティに重点を置いています。資産のセキュリティとは、ユーザーが保有する資産のことで、たとえばこれらの資産が自分のコントラクトウォレットにある場合や、いくつかのチェーン上のプロトコルに投資されている場合、ユーザーの資産のセキュリティをどう確保するかも、BlockSec のサービス範囲の一つです。第三のセクターはコンプライアンスと規制です。私たちは、ますます多くの伝統的な金融機関が Crypto 業界に参入していることに気付きました。最近のニュースでも、アメリカの伝統的な銀行がチェーン上で安定コイン資産を発行したり、Crypto が越境決済業界に入ったりしています。実際、これらの伝統的な金融機関がこの業界に入ると、規制が難題を抱えることになります。規制機関はこれらの機関をどう規制すればよいのかわからず、また、これらの機関はコンプライアンスをどう遵守すればよいのかわかりません。したがって、私たちは規制機関が Crypto 業界に参入するプレイヤーを監視するのを助けたり、Crypto 業界に入るこれらの伝統的な機関がコンプライアンスを遵守するのを助けたりもしています。これが私たちのビジネスの三つの範囲です。

私たちの顧客の範囲はかなり広いです。皆さんが考えられるのは、オンチェーンでの分散型金融やその他のサービスのプロジェクトサイド、例えば、オンチェーンでLendingを提供するプラットフォームや分散型取引プラットフォームを提供するプロジェクトサイドで、これらのプロジェクトサイドが私たちの顧客です。私たちは、彼らがスマートコントラクトをオンチェーンにデプロイする前に、安全な監査を行い、安全な視点から彼らの開発したスマートコントラクトに安全な脆弱性がないかをレビューする手助けをします。もし安全な脆弱性があれば、迅速に修正する必要があります。また、彼らのプロトコルがオンチェーンにデプロイされた後、私たちは24時間365日の監視プラットフォームを持ち、彼らのプロトコルの安全リスクを監視します。もし何らかの安全リスクが発生した場合、私たちのプラットフォームはプロトコルに迅速に通知でき、リスクや攻撃を自動的に遮断することができます。したがって、オンチェーンにスマートコントラクトをデプロイするこれらの開発者やプロジェクトサイドは私たちの典型的な顧客の一つです。第二の典型的な顧客は、資産を持つ人々で、例えば高ネットワースの顧客です。彼らは契約ウォレットの中に資産を持っているか、あるいはこれらの高ネットワースの顧客がオンチェーンのいくつかのプロトコルに投資することがあります。私たちのサービスと製品は、彼らが投資しているプロトコルの安全性をより良く監視するのを助けることができます。コインの表と裏のように、プロトコルのプロジェクトサイドの視点から見ると、私たちは彼らのプロトコルの安全性を向上させる手助けができます。彼らのプロトコルに投資している高ネットワースの顧客の視点から見ると、私たちは彼らが投資しているプロトコルの安全性を監視するのを助けることができます。一度彼が投資したプロトコルに安全リスクが発生した場合、例えば攻撃を受けた場合、彼は第一時間に自分の資金を撤回できる必要があります。第三の顧客は、私が先ほど述べた規制とコンプライアンスで、この顧客のクラスは主にいくつかの規制機関です。例えば、香港の証券監視委員会も私たちの顧客であり、海外のいくつかの法執行機関がデジタル通貨犯罪に関わる調査を行う必要があるとき、彼らは私たちのツールやプラットフォームを使用して、証拠の収集や資金の追跡などの調査活動を行うのに便利です。これが私たちの全体的なビジネスと顧客の範囲です。

暗号化セキュリティに関する3つの提案

**アレックス：**理解しました。先ほど周先生は顧客のタイプや彼らのニーズ、そして業界の大まかな状況について話していました。では、第二の質問は個人投資家に関連する可能性が高いと思います。特に、私たちの聴衆の中にはWeb3に入って投資を学び始めたばかりの人が多いです。もしあなたの周りに暗号投資の分野に入ったばかりの友人がいて、あなたが暗号安全サービスを提供していることを知っているなら、彼に対して暗号安全に関する3つのアドバイスをしてください。あなたが彼に提案するアドバイスは何ですか？

**周亚金：**この質問は非常に良いです。私の周りの友人たちもよく私に安全に関するアドバイスを尋ねます。彼らもこの業界に入りたいと思っていますが、多くの人がリスクに直面することを聞いているようです。私たちはかつて冗談で言ったことがあります：「もしあなたが Crypto の世界に入った後、フィッシングに遭わず、詐欺にも遭わなければ、あなたはこの分野の熟練者にはならない。」もちろんこれは冗談ですが、実際にこの業界には多くのリスクが存在することがわかります。三つのアドバイスを挙げるとすれば、最初のアドバイスは誰もが思いつくことですが、私鍵の保護に関することです。Crypto の分野では、あなたがその資金を所有していることを証明する方法は、実際にはあなたが持っている私鍵を使ってそのアカウントの所有権を証明することです。私鍵は一連の数字であり、これもあなたの個人情報とは無関係です。この数字が一度失われたり漏洩したりすると、他の人はあなたと同じようにあなたの資金をコントロールできるようになります。これは現実世界とは非常に異なります。現実世界では、銀行のパスワードが漏洩した場合、銀行に電話してアカウントを凍結することができますが、他の人はお金を引き出すことができません。しかし、Crypto の世界では、あなたの私鍵が漏洩した場合、その私鍵を持っている人はあなたのアカウントから無制限に資金を移動することができます。一般的に、私鍵を保護する方法はいくつかあります。たとえば、ハードウェアウォレットや契約ウォレット、または携帯電話の APP を使用して私鍵を保護することです。それぞれの方法には独自の長所と短所があります。私自身の経験や周りの安全に関する友人の全体的な経験を通じて、基本的な原則は私鍵の助記詞を覚えて金庫に保管することです。金庫は自宅のものであっても銀行のものであっても、しっかりと保管し、普段は触れないようにします。基本的には、あなたはそれを使うことはありません。そして、比較的信頼できるデバイス、ハードウェアウォレットや携帯電話を使用して私鍵を安全に保管してください。この携帯電話は専用のデバイスであるべきで、他の操作活動は行わず、あなた自身のデジタル資産を管理するためだけに使用してください。これが最初のアドバイスです。第二のアドバイスは、チェーン上で取引を行うときに安全とリスクに関する意識を持つことです。本質的には、ただ一つのことを覚えておけばいいです：天上からは饅頭は降ってこない。私たちは、チェーン上で取引を行う際、ユーザーが直面するフィッシングのリスクが非常に大きいことに気付きました。私たちがよく知っている暗号界の多くの KOL や OG もフィッシング攻撃に遭遇し、多くの資金を失っています。もし不明なウェブサイトがあなたにウォレットを接続させて「空投報酬」を得ようとする場合は、注意深くなる必要があります。必ず安全に関する意識を持つことが重要です。第三のアドバイスは、少しでも暗号資産に関する基本的な知識を理解する必要があります。基本的な知識とは、暗号資産には通常「権限付与」という概念があるということです。これは伝統的な金融とは異なる点です。たとえば、あなたがある種のデジタル資産、USDT または USDC を所有している場合、チェーン上の署名を通じて、その資産を契約や他のユーザーに使用するために権限を付与することができます。この権限付与は、あなたのウォレットで理解できない奇妙なものの堆積を署名するだけで実現できます。したがって、ウォレット署名を行う際に、あまり理解していなかったり、欺かれたりして権限を付与する取引に署名してしまうと、他の人があなたのすべてのデジタル資産を利用できるようになります。したがって、権限付与について基本的な理解を持ち、ウォレット署名を行うときに誤って署名することがないようにする必要があります。要約すると、基本的なアドバイスは次のとおりです：第一は、自分の私鍵をしっかり保護し、いくつかの実行可能な方法を示しました；第二は、チェーン上で取引を行うときは常に注意し、安全意識を持ってフィッシングに遭わないようにすること；第三は、Crypto の権限付与メカニズムについて基本的な理解を持つことです。そうすれば、誤って権限を付与する取引に署名することはありません。

**アレックス：**実際、私の周りには多くの高資産の友人がいて、彼らも業界のOGやベテランです。理論的には、あなたが言及したこれらのセキュリティ意識は、彼らもある程度持っているはずですが、毎年、周りで大口の人が盗まれるのを聞いています。業界には言われていることがあって、もしプロのハッカーがあなたに目を付けたら、彼はあなたのウォレットにお金があることを知っていて、彼が利用可能なすべてのリソースを動員した場合、あなたは逃げるのが非常に難しいことが多いです。このような言い方には意味があると思いますか？本当にそうなのでしょうか？

**周亚金：**あなたの質問は非常に良いです。実際、安全の問題、特に Crypto の安全性に関しては、本質的には不均衡な対抗です。もしあなたのウォレットに十分な資産がある場合、あなたは他人のターゲット攻撃の対象になりやすいです。そして一度他人のターゲット攻撃の対象になると、他人は非常に多くのリソースを動員します。社交工学のリソース、技術のリソース、または他のリソースを用いて、ターゲットの日常行動パターンや生活習慣などに基づいて、あなたに対する攻撃方法を設計します。このような状況下では、100%とは言えませんが、防御の難易度は非常に高くなります。なぜなら、他人はあなたに対抗するために非常に多くのリソースを使っているのに対し、あなたは自分一人だけだからです。したがって、非常に非対称な対抗です。このような状況下で、基本的な原則は、まず中国人には「財不露富」という言葉があります。つまり、自分が持っている資産を公にしないこと、個人のオフラインのアイデンティティとオンチェーンの資産のアイデンティティの関係を漏らさないようにすることです。第二に、たとえあなたが高い純資産を持つユーザーであっても、他人に漏らされている可能性があるため、資産の隔離をできるだけ徹底する必要があります。つまり、普段の操作で扱う資産は、専用のウォレットに最大で10万円しか入れないことです。他人があなたをターゲットにした場合、最大でもその10万円しか騙し取られません。そして、他の多くの資産は、普段ほとんど使用しないウォレットに保管するべきです。もしこれらの資産を使用する必要がある場合は、安全の専門家に依頼して、比較的良い操作プロセスと規範をレビューしてもらう必要があります。そうすることで、非常に大きなリスクを回避できます。

印象に残った3つのセキュリティ事件

**アレックス：**わかりました。この提案は確かに非常に重要です。これまでの業界経験の中で、一番印象に残った三つのセキュリティ事件を教えていただけますか？ご自身の経験でも、友人の経験でも、またはあなたの見聞でも構いません。

**周亚金：**皆さんに、私たちが実際に関与し、印象に残ったセキュリティ事件についてお話しできます。最初の例は、2023年2月の十数日前に、ブロックチェーン上で攻撃されたプロトコルがありました。それは、貸付とその他の機能を持つプラットフォームです。このプロトコルにはセキュリティの脆弱性があり、ハッカーはその脆弱性を通じて、大