加密安全專家周亞金談區塊鏈安全

主持人：Alex，研究合夥人

嘉賓：周亞金，某區塊鏈安全公司 CEO

錄制時間：2025.3.28

聲明：本期播客討論內容不代表嘉賓所在機構觀點，提到的項目不構成任何投資建議。

某安全公司的服務範疇和目標客戶

**Alex：**本期節目我們來談加密世界的安全。如何爲自己的資產構建防火牆,是開始加密旅程前的必修課。今天邀請到了某區塊鏈安全公司的周亞金,跟我們聊聊加密安全這個話題。請周老師跟我們打個招呼吧。

**周亞金：**大家好,我是周亞金,目前在某安全公司做 CEO,同時我也是浙江大學從事網路空間安全的研究人員,很高興認識大家。

**Alex：**好的,咱們進入正題。請周老師先介紹一下你們公司,提供的服務內容大概是哪些,什麼樣的人、機構會成爲你們的客戶。

**周亞金：**好的,我們是一家 Web3 安全公司,成立於 2021 年。我們的業務可以分爲三大板塊。第一個板塊是針對鏈上協議的安全,提供安全審計和監控產品。第二塊關注資產安全,保護用戶在錢包和協議中的資產安全。第三塊是合規和監管,幫助傳統金融機構進入 Crypto 行業時符合監管要求。

我們的客戶覆蓋面較廣。首先是在鏈上部署智能合約的開發者和項目方,我們爲他們提供安全審計和監控服務。其次是擁有大量加密資產的高淨值客戶,我們幫助他們監控所投資協議的安全性。第三類是監管機構,比如香港證監會和一些執法機構,需要我們的工具來調查涉及數字貨幣的犯罪。

關於加密安全的三點建議

**Alex：**如果您身邊有朋友剛進入加密投資領域,您會給他提哪三個關於加密安全的建議?

**周亞金：**第一個建議是關於私鑰保護。私鑰是一串數字,一旦丟失或泄露,別人就可以控制你的資金。我建議將私鑰助記詞記下來存入保險箱,平時不要動。日常使用時,用一個專用的可信設備(如硬體錢包或手機)來存儲私鑰。

第二個建議是在鏈上交易時要有安全意識。要記住天上不會掉餡餅。很多人,包括圈內知名人士,都曾遭遇過釣魚攻擊。如果一個陌生網站要求你連接錢包獲得空投獎勵,一定要小心。

第三個建議是了解一些加密資產基本知識,特別是授權機制。在加密世界裏,你可以通過籤名將資產授權給合約或其他用戶使用。在簽署錢包籤名時要格外小心,避免誤籤名授權交易。

親歷社工攻擊

**Alex：**您能解釋一下什麼是"社工攻擊"?

**周亞金：**社工攻擊全稱是社會工程學攻擊,它利用的不是技術手段,而是針對你的工作習慣、人際關係、工作職責等設計的攻擊手法。我可以分享一個我親身經歷的案例。

作爲公司 CEO,我經常收到參加活動的邀請和投資機構的聯繫。有一次,一個自稱是投資機構的人通過公司郵箱聯繫我,說想商討投資機會。雖然我們會做背調,但這個機構看起來很正規。在約定視頻會議時,他們沒有提供會議連結,而是在開會時間臨近時發來一個要求下載軟件的連結。如果因爲着急而毫無防備地安裝,很可能會導致電腦中的私鑰被竊取。

這種攻擊利用了我的職位和工作職責,以及開會前急於促成機會的心理。這就是一個典型的社工攻擊案例。

與區塊鏈協議交互時的安全原則

**Alex：**我們在跟 DeFi 協議交互時,有哪些安全原則需要遵守?普通用戶如何降低風險?

**周亞金：**首先,要對項目方進行背調。了解創始人背景,看項目是否經過頭部安全公司審計。其次,採用漸進式投資方式,不要一次投入大額資金。對於資金量大的用戶,建議使用專業安全工具監控所投資協議的風險。

對普通用戶來說,主要是防範釣魚風險。不要輕信天上掉餡餅的說法,交互時要確認是官方網站而非山寨網站。可以使用安全工具識別釣魚網站。

另外,要定期檢查並撤銷不再使用的授權。我們發現很多用戶授權給了幾十個協議,其中不少已經不活躍,這可能存在安全隱患。

區塊鏈安全行業的現狀和潛力

**Alex：**目前區塊鏈安全行業的規模、發展現狀和利潤水平大概如何?

**周亞金：**根據一些報道和測算,區塊鏈安全行業的年規模大約在 30 億美元左右,相比傳統網安產業 1000 億美元的規模還是較小。這與整個區塊鏈行業的發展階段有關。

目前行業發展遇到了一些瓶頸,TVL 從最高峯的 1770 億美元下降到現在的 990 億美元左右。但我們也看到新的潛力,就是傳統金融機構正在進入這個領域。比如傳統銀行發行鏈上穩定幣,支付公司支持加密貨幣支付等。

隨着傳統金融機構的加入和行業的合規化,我認爲區塊鏈安全行業未來還有很大的發展空間。

頭部安全公司的護城河

**Alex：**您認爲頭部安全公司的護城河主要有哪些?

**周亞金：**我認爲有三個方面:

1. 品牌和信任。安全審計對品牌認知要求很高,頭部公司仍然處於供不應求的狀態。

2. 安全創新技術。除了審計,還需要能覆蓋智能合約全生命週期的安全解決方案,如攻擊監控和阻斷等。

3. 合規、監管以及地緣政治因素。行業發展需要在合規監管框架下進行,提前布局這方面的產品和服務很重要。同時,不同地區在選擇供應商時可能有地緣政治考量。

**Alex：**非常感謝周亞金今天的分享,希望以後還能有機會再聊更多相關話題。

**周亞金：**謝謝 Alex。