加密安全专家周亚金谈区块链安全

主持人：Alex，研究合伙人

嘉宾：周亚金，某区块链安全公司 CEO

录制时间：2025.3.28

声明：本期播客讨论内容不代表嘉宾所在机构观点，提到的项目不构成任何投资建议。

某安全公司的服务范畴和目标客户

**Alex：**本期节目我们来谈加密世界的安全。如何为自己的资产构建防火墙,是开始加密旅程前的必修课。今天邀请到了某区块链安全公司的周亚金,跟我们聊聊加密安全这个话题。请周老师跟我们打个招呼吧。

**周亚金：**大家好,我是周亚金,目前在某安全公司做 CEO,同时我也是浙江大学从事网络空间安全的研究人员,很高兴认识大家。

**Alex：**好的,咱们进入正题。请周老师先介绍一下你们公司,提供的服务内容大概是哪些,什么样的人、机构会成为你们的客户。

**周亚金：**好的,我们是一家 Web3 安全公司,成立于 2021 年。我们的业务可以分为三大板块。第一个板块是针对链上协议的安全,提供安全审计和监控产品。第二块关注资产安全,保护用户在钱包和协议中的资产安全。第三块是合规和监管,帮助传统金融机构进入 Crypto 行业时符合监管要求。

我们的客户覆盖面较广。首先是在链上部署智能合约的开发者和项目方,我们为他们提供安全审计和监控服务。其次是拥有大量加密资产的高净值客户,我们帮助他们监控所投资协议的安全性。第三类是监管机构,比如香港证监会和一些执法机构,需要我们的工具来调查涉及数字货币的犯罪。

关于加密安全的三点建议

**Alex：**如果您身边有朋友刚进入加密投资领域,您会给他提哪三个关于加密安全的建议?

**周亚金：**第一个建议是关于私钥保护。私钥是一串数字,一旦丢失或泄露,别人就可以控制你的资金。我建议将私钥助记词记下来存入保险箱,平时不要动。日常使用时,用一个专用的可信设备(如硬件钱包或手机)来存储私钥。

第二个建议是在链上交易时要有安全意识。要记住天上不会掉馅饼。很多人,包括圈内知名人士,都曾遭遇过钓鱼攻击。如果一个陌生网站要求你连接钱包获得空投奖励,一定要小心。

第三个建议是了解一些加密资产基本知识,特别是授权机制。在加密世界里,你可以通过签名将资产授权给合约或其他用户使用。在签署钱包签名时要格外小心,避免误签名授权交易。

亲历社工攻击

**Alex：**您能解释一下什么是"社工攻击"?

**周亚金：**社工攻击全称是社会工程学攻击,它利用的不是技术手段,而是针对你的工作习惯、人际关系、工作职责等设计的攻击手法。我可以分享一个我亲身经历的案例。

作为公司 CEO,我经常收到参加活动的邀请和投资机构的联系。有一次,一个自称是投资机构的人通过公司邮箱联系我,说想商讨投资机会。虽然我们会做背调,但这个机构看起来很正规。在约定视频会议时,他们没有提供会议链接,而是在开会时间临近时发来一个要求下载软件的链接。如果因为着急而毫无防备地安装,很可能会导致电脑中的私钥被窃取。

这种攻击利用了我的职位和工作职责,以及开会前急于促成机会的心理。这就是一个典型的社工攻击案例。

与区块链协议交互时的安全原则

**Alex：**我们在跟 DeFi 协议交互时,有哪些安全原则需要遵守?普通用户如何降低风险?

**周亚金：**首先,要对项目方进行背调。了解创始人背景,看项目是否经过头部安全公司审计。其次,采用渐进式投资方式,不要一次投入大额资金。对于资金量大的用户,建议使用专业安全工具监控所投资协议的风险。

对普通用户来说,主要是防范钓鱼风险。不要轻信天上掉馅饼的说法,交互时要确认是官方网站而非山寨网站。可以使用安全工具识别钓鱼网站。

另外,要定期检查并撤销不再使用的授权。我们发现很多用户授权给了几十个协议,其中不少已经不活跃,这可能存在安全隐患。

区块链安全行业的现状和潜力

**Alex：**目前区块链安全行业的规模、发展现状和利润水平大概如何?

**周亚金：**根据一些报道和测算,区块链安全行业的年规模大约在 30 亿美元左右,相比传统网安产业 1000 亿美元的规模还是较小。这与整个区块链行业的发展阶段有关。

目前行业发展遇到了一些瓶颈,TVL 从最高峰的 1770 亿美元下降到现在的 990 亿美元左右。但我们也看到新的潜力,就是传统金融机构正在进入这个领域。比如传统银行发行链上稳定币,支付公司支持加密货币支付等。

随着传统金融机构的加入和行业的合规化,我认为区块链安全行业未来还有很大的发展空间。

头部安全公司的护城河

**Alex：**您认为头部安全公司的护城河主要有哪些?

**周亚金：**我认为有三个方面:

1. 品牌和信任。安全审计对品牌认知要求很高,头部公司仍然处于供不应求的状态。

2. 安全创新技术。除了审计,还需要能覆盖智能合约全生命周期的安全解决方案,如攻击监控和阻断等。

3. 合规、监管以及地缘政治因素。行业发展需要在合规监管框架下进行,提前布局这方面的产品和服务很重要。同时,不同地区在选择供应商时可能有地缘政治考量。

**Alex：**非常感谢周亚金今天的分享,希望以后还能有机会再聊更多相关话题。

**周亚金：**谢谢 Alex。