ชื่อเรื่องเดิม: "EP28: How Much Do You Know About On-Chain Security: How Ordinary People Build a Firewall for Crypto Assets"

แหล่งที่มาเดิม: Mint Ventures

· เจ้าภาพ: อเล็กซ์ หุ้นส่วนวิจัยของ Mint Ventures

· แขกรับเชิญ: โจว หยานจิน ซีอีโอของบริษัทรักษาความปลอดภัยของบล็อคเชน BlockSec

· เวลาในการบันทึก: 28.3.2025

คำชี้แจง: เนื้อหาที่กล่าวถึงในพอดแคสต์นี้ไม่ได้แสดงถึงมุมมองของสถาบันที่แขกรับเชิญอยู่ และโครงการที่กล่าวถึงไม่ถือเป็นคำแนะนำการลงทุนใดๆ

สวัสดีทุกคน ยินดีต้อนรับสู่ WEB3 Mint To Be ซึ่งริเริ่มโดย Mint Ventures ที่นี่ เราจะยังคงถามคำถามและคิดอย่างลึกซึ้งเพื่อชี้แจงข้อเท็จจริง สำรวจความเป็นจริง และค้นหาฉันทามติในโลก WEB3 ชี้แจงตรรกะเบื้องหลังหัวข้อร้อนแรง ให้ข้อมูลเชิงลึกเกี่ยวกับเหตุการณ์ต่างๆ และแนะนำมุมมองที่หลากหลาย

ขอบเขตการให้บริการและลูกค้าเป้าหมายของ BlockSec

อเล็กซ์: ในตอนนี้ เราจะมาพูดถึงหัวข้อที่ทุกคนต่างก็มีความเกี่ยวข้องอย่างใกล้ชิด นั่นก็คือความปลอดภัยของโลกที่เข้ารหัส จนกว่าเราจะเผชิญกับความเสี่ยงที่แท้จริง เรามักจะคิดว่าเราจะไม่ตกเป็นเหยื่อของเหตุการณ์ด้านความปลอดภัยที่เป็นข่าว วิธีสร้างไฟร์วอลล์สำหรับสินทรัพย์ของคุณและการลงทุนในสภาพแวดล้อมที่ปลอดภัยเป็นหัวข้อบังคับก่อนที่เราจะเริ่มเส้นทางการเข้ารหัสของเรา

ในพอดแคสต์นี้ เราได้เชิญ Zhou Yajin จากบริษัทรักษาความปลอดภัยของบล็อคเชน BlockSec มาร่วมพูดคุยกับเราเกี่ยวกับหัวข้อความปลอดภัยของสกุลเงินดิจิทัล ทักทายพวกเราด้วยนะครับคุณครูโจว

Zhou Yajin:สวัสดีทุกคน ฉันชื่อ Zhou Yajin ปัจจุบันเป็น CEO ของ BlockSec ฉันยังเป็นนักวิจัยเกี่ยวกับความปลอดภัยทางไซเบอร์ที่มหาวิทยาลัยเจ้อเจียงอีกด้วย ฉันมีความยินดีมากที่ได้รู้จักพวกคุณทุกคน

อเล็กซ์: โอเค มาเข้าประเด็นกันเลยดีกว่าสำหรับวันนี้ ฉันเชื่อว่าผู้ฟังจำนวนมากอาจไม่คุ้นเคยกับบริษัทด้านความปลอดภัยบล็อคเชนและบริการด้านความปลอดภัยมากนัก คุณโจว กรุณาแนะนำ BlockSec ให้เรารู้จักก่อน คุณให้บริการอะไร และผู้คนและสถาบันประเภทใดที่จะเป็นลูกค้าของคุณ?

Zhou Yajin: โอเค BlockSec เป็นบริษัทความปลอดภัย Web3 เราได้รับการก่อตั้งในปี 2021 โดยมีศาสตราจารย์หวู่และฉันร่วมก่อตั้ง เมื่อพูดถึงความปลอดภัยของ Web3 สิ่งแรกที่นึกถึงคงเป็นการตรวจสอบความปลอดภัย ในความเป็นจริงขอบเขตทางธุรกิจของ BlockSec ไม่ได้จำกัดอยู่แค่การตรวจสอบความปลอดภัยเท่านั้น นอกจากนี้เรายังมีผลิตภัณฑ์และบริการด้านความปลอดภัยอื่นๆ อีกมากมาย โดยเฉพาะอย่างยิ่งบริการสามารถแบ่งได้เป็น 3 ส่วนหลัก

ส่วนแรกเราเรียกการรักษาความปลอดภัยสำหรับโปรโตคอลบนเชน โปรโตคอลแบบออนเชนคือสัญญาอัจฉริยะที่ติดตั้งบนบล็อคเชนเพื่อดำเนินการ DeFi, NFT หรือกิจกรรมอื่นๆ ควรจะรักษาความปลอดภัยของสัญญาเหล่านี้อย่างไร? BlockSec ให้บริการตรวจสอบความปลอดภัยและผลิตภัณฑ์ตรวจสอบความปลอดภัย

ด้านที่สองที่เรากังวลมากขึ้นคือความปลอดภัยของทรัพย์สิน สิ่งที่เรียกว่าการรักษาความปลอดภัยของทรัพย์สิน หมายถึงทรัพย์สินที่ผู้ใช้มีอยู่ในมือ ตัวอย่างเช่น สินทรัพย์เหล่านี้จะอยู่ในกระเป๋าเงินสัญญาของตัวเองหรือลงทุนในโปรโตคอลบนเชนบางตัว วิธีการรับประกันความปลอดภัยของสินทรัพย์ของผู้ใช้เหล่านี้ก็เป็นหนึ่งในพื้นที่บริการ BlockSec ของเรา

ส่วนที่ 3 คือ การปฏิบัติตามและการกำกับดูแล เราพบว่าสถาบันการเงินแบบดั้งเดิมจำนวนมากขึ้นเรื่อยๆ กำลังเข้าสู่กลุ่มอุตสาหกรรม Crypto เมื่อไม่นานนี้ เราได้เห็นข่าวว่าธนาคารแบบดั้งเดิมในสหรัฐฯ ได้ออกสินทรัพย์ stablecoin บางส่วนบนเครือข่าย ซึ่งรวมถึง Crypto ที่เข้าสู่ภาคอุตสาหกรรมการชำระเงินข้ามพรมแดนด้วย ในความเป็นจริง หลังจากสถาบันการเงินแบบดั้งเดิมเหล่านี้เข้ามาในอุตสาหกรรมนี้ พวกเขาก็นำปัญหาที่ยากลำบากมาสู่การกำกับดูแล หน่วยงานกำกับดูแลไม่รู้วิธีการกำกับดูแล และสถาบันเหล่านี้ไม่รู้วิธีปฏิบัติตามกฎระเบียบ ด้วยเหตุนี้ เราจึงให้ความช่วยเหลือหน่วยงานกำกับดูแลในการกำกับดูแลผู้เล่นที่เข้าสู่วงการ Crypto หรือช่วยเหลือสถาบันดั้งเดิมที่เข้าสู่วงการ Crypto ให้ปฏิบัติตามกฎระเบียบอีกด้วย นี่คือสามพื้นที่ของธุรกิจของเรา

ลูกค้าของเราครอบคลุมหลากหลาย สิ่งที่ทุกคนนึกถึงได้ก็คือฝ่ายโครงการที่ให้บริการการเงินแบบกระจายอำนาจหรือบริการอื่น ๆ บนเครือข่าย เช่น การจัดเตรียมแพลตฟอร์มการให้กู้ยืมเงินและแพลตฟอร์มการซื้อขายแบบกระจายอำนาจบนเครือข่าย ฝ่ายโครงการเหล่านี้เป็นลูกค้าของเรา เราสามารถช่วยพวกเขาทำการตรวจสอบความปลอดภัยบางส่วนก่อนที่จะนำสัญญาอัจฉริยะไปใช้งานบนเครือข่าย และตรวจสอบว่าสัญญาอัจฉริยะที่พวกเขาพัฒนาขึ้นนั้นมีช่องโหว่ด้านความปลอดภัยหรือไม่จากมุมมองด้านความปลอดภัย หากมีช่องโหว่ด้านความปลอดภัย จำเป็นต้องแก้ไขอย่างทันท่วงที ในเวลาเดียวกัน หลังจากที่โปรโตคอลของพวกเขาถูกใช้งานบนเครือข่ายแล้ว เรายังจะมีแพลตฟอร์มการตรวจสอบตลอด 24 ชั่วโมงทุกวัน เพื่อตรวจสอบความเสี่ยงด้านความปลอดภัยของโปรโตคอลของพวกเขาอีกด้วย หากเกิดความเสี่ยงด้านความปลอดภัยใดๆ แพลตฟอร์มของเราสามารถแจ้งเตือนโปรโตคอลและปิดกั้นความเสี่ยงและการโจมตีโดยอัตโนมัติ

ดังนั้น นักพัฒนาและฝ่ายโครงการเหล่านี้ที่ปรับใช้สัญญาอัจฉริยะบนเครือข่ายจึงเป็นลูกค้าทั่วไปของเรา ลูกค้าประเภททั่วไปที่สองคือบุคคลที่เป็นเจ้าของสินทรัพย์ ซึ่งอาจเป็นลูกค้าที่มีมูลค่าทรัพย์สินสูงซึ่งมีสินทรัพย์บางส่วนอยู่ในกระเป๋าเงินของสัญญา หรือลูกค้าที่มีมูลค่าทรัพย์สินสูงเหล่านี้จะลงทุนในข้อตกลงบางรายการบนเครือข่าย บริการและผลิตภัณฑ์ของเราสามารถช่วยให้พวกเขาตรวจสอบความปลอดภัยของโปรโตคอลที่พวกเขาลงทุนได้ดีขึ้น เช่นเดียวกับสองด้านของเหรียญ จากมุมมองของโครงการโปรโตคอล เราสามารถช่วยให้พวกเขาปรับปรุงความปลอดภัยของโปรโตคอลได้

จากมุมมองของลูกค้าที่มีมูลค่าสุทธิสูงที่ลงทุนในโปรโตคอลของตน เราสามารถช่วยพวกเขาตรวจสอบความปลอดภัยของโปรโตคอลที่พวกเขาลงทุนได้ เมื่อโปรโตคอลที่เขาลงทุนมีความเสี่ยงด้านความปลอดภัย เช่น ถูกโจมตี เขาจะต้องสามารถถอนเงินของเขาออกได้โดยเร็วที่สุด ลูกค้าประเภทที่สามคือผู้กำกับดูแลและปฏิบัติตามที่ฉันเพิ่งกล่าวถึงไป ลูกค้าประเภทนี้ส่วนใหญ่คือหน่วยงานกำกับดูแลบางแห่ง ตัวอย่างเช่น สำนักงานคณะกรรมการกำกับหลักทรัพย์และสัญญาซื้อขายล่วงหน้าของฮ่องกงก็เป็นลูกค้าของเรา ยังมีหน่วยงานบังคับใช้กฎหมายในต่างประเทศอีกหลายแห่ง เมื่อพวกเขาจำเป็นต้องสืบสวนอาชญากรรมที่เกี่ยวข้องกับสกุลเงินดิจิทัล พวกเขาจำเป็นต้องใช้เครื่องมือและแพลตฟอร์มของเราเพื่ออำนวยความสะดวกในการสืบสวนบางอย่าง เช่น การดึงหลักฐานและการติดตามเงินทุน โดยพื้นฐานแล้วนี่คือธุรกิจโดยรวมของเราและขอบเขตของลูกค้าของเรา

ข้อเสนอแนะสามประการเกี่ยวกับความปลอดภัยในการเข้ารหัส

อเล็กซ์: ฉันเข้าใจแล้ว ศาสตราจารย์โจวพูดถึงประเภทของลูกค้า ความต้องการของพวกเขา และสถานการณ์โดยทั่วไปของอุตสาหกรรม คำถามที่สองอาจเกี่ยวข้องกับนักลงทุนรายบุคคลมากกว่า โดยเฉพาะอย่างยิ่งผู้ฟังของเราจำนวนมากกำลังเริ่มเรียนรู้เกี่ยวกับ Web3 และลองลงทุนดู

หากคุณมีเพื่อนที่เพิ่งเข้ามาในแวดวงการลงทุนด้านคริปโต และรู้ว่าคุณมีส่วนร่วมในบริการด้านความปลอดภัยของคริปโต โปรดให้คำแนะนำเกี่ยวกับความปลอดภัยของคริปโต 3 ประการแก่เขา คุณจะให้คำแนะนำเขาเรื่องใดสามข้อ?

โจว หยานจิน: นี่เป็นคำถามที่ดีมาก เพื่อน ๆ ของฉันมักจะขอคำแนะนำเรื่องความปลอดภัยจากฉัน พวกเขาต้องการที่จะเข้าสู่วงการนี้เช่นกัน แต่พวกเขาได้ยินมาว่าหลายคนดูเหมือนจะเผชิญกับความเสี่ยง เราเคยมีเรื่องตลกกันว่า: หากคุณเข้าสู่วงการ Crypto และไม่โดนฟิชชิ่งหรือหลอกลวง คุณจะไม่กลายเป็นผู้เล่นอาวุโสในสาขานี้ แน่นอนว่านี่เป็นเรื่องตลก แต่คุณจะพบว่าอุตสาหกรรมนี้มีความเสี่ยงมากมาย

หากฉันต้องให้คำแนะนำสามข้อ ข้อแรกคงจะเป็นสิ่งที่ทุกคนคิด ซึ่งก็คือเรื่องการปกป้องคีย์ส่วนตัว ในด้านของ Crypto คุณจะพิสูจน์ได้อย่างไรว่าคุณเป็นเจ้าของเงินทุน? ในความเป็นจริงคุณใช้คีย์ส่วนตัวของคุณเพื่อพิสูจน์ความเป็นเจ้าของบัญชีของคุณ คีย์ส่วนตัวเป็นเพียงตัวเลขชุดหนึ่งซึ่งไม่ผูกติดกับข้อมูลประจำตัวส่วนบุคคลของคุณแต่อย่างใด หากตัวเลขชุดนี้สูญหายหรือรั่วไหล ผู้อื่นจะสามารถควบคุมเงินของคุณได้เช่นเดียวกับคุณ นี่แตกต่างจากโลกแห่งความเป็นจริงของเรามาก ในโลกแห่งความเป็นจริง หากรหัสผ่านธนาคารของคุณรั่วไหล คุณสามารถโทรไปที่ธนาคารและขอให้พวกเขาอายัดบัญชีของคุณ เพื่อที่ไม่มีใครสามารถถอนเงินของคุณออกไปได้ แต่ในโลกของ Crypto หากคีย์ส่วนตัวของคุณรั่วไหล ผู้ที่มีคีย์ส่วนตัวของคุณจะสามารถโอนเงินจากบัญชีของคุณได้โดยไม่มีข้อจำกัด

โดยทั่วไปแล้วมีหลายวิธีในการปกป้องคีย์ส่วนตัว ตัวอย่างเช่น เรามีกระเป๋าเงินฮาร์ดแวร์ กระเป๋าเงินสัญญา หรือแอปโทรศัพท์มือถือเพื่อปกป้องคีย์ส่วนตัว แต่ละวิธีมีข้อดีข้อเสียของตัวเอง จากประสบการณ์ของฉันเองและประสบการณ์โดยรวมของเพื่อนฝ่ายรักษาความปลอดภัยรอบตัวเรา หลักการพื้นฐานคือจดบันทึกรหัสส่วนตัวและเก็บไว้ในที่ปลอดภัย ไม่ว่าตู้เซฟนี้จะอยู่ในบ้านของคุณหรือในธนาคารก็ตาม โปรดเก็บรักษาไว้อย่างดีและอย่าเคลื่อนย้ายตามปกติ โดยพื้นฐานแล้วคุณไม่จำเป็นต้องใช้มัน จากนั้นใช้อุปกรณ์ที่คุณเชื่อถือค่อนข้างดี ไม่ว่าจะเป็นกระเป๋าเงินฮาร์ดแวร์หรือโทรศัพท์มือถือ เพื่อจัดเก็บคีย์ส่วนตัวของคุณ โทรศัพท์มือถือนี้จะต้องเป็นอุปกรณ์เฉพาะ ห้ามใช้เพื่อการดำเนินการอื่นใด ใช้เพื่อจัดการสินทรัพย์ดิจิตอลของคุณเองเท่านั้น นี่เป็นข้อเสนอแนะแรก

ข้อเสนอแนะประการที่สองคือให้ตระหนักถึงความปลอดภัยและความเสี่ยงเมื่อทำการซื้อขายบนเครือข่าย โดยพื้นฐานแล้ว สิ่งที่คุณต้องจำไว้ก็คือ ไม่มีอะไรที่ได้มาฟรี เราพบว่าเมื่อทำธุรกรรมบนเครือข่าย ผู้ใช้จะต้องเผชิญกับความเสี่ยงจากการฟิชชิ่งสูงมาก KOL และ OG จำนวนมากในวงการคริปโตที่เราคุ้นเคยต่างเผชิญกับการโจมตีแบบฟิชชิ่งและสูญเสียเงินไปเป็นจำนวนมาก หากเว็บไซต์ที่ไม่รู้จักขอให้คุณเชื่อมต่อกระเป๋าเงินของคุณเพื่อรับรางวัล Airdrop คุณต้องระมัดระวังมากขึ้นในตอนนี้และต้องใส่ใจเรื่องความปลอดภัย

ข้อเสนอแนะที่สามคือคุณจำเป็นต้องมีความรู้พื้นฐานเกี่ยวกับสินทรัพย์ดิจิทัล ความรู้พื้นฐานหมายถึงแนวคิดของการอนุญาตในสินทรัพย์เข้ารหัส นี่แตกต่างจากการเงินแบบดั้งเดิม ตัวอย่างเช่น หากคุณเป็นเจ้าของสินทรัพย์ดิจิทัลประเภทหนึ่ง เช่น USDT หรือ USDC คุณสามารถอนุญาตให้ใช้สินทรัพย์นั้นกับสัญญาหรือผู้ใช้รายอื่นได้ผ่านลายเซ็นบนเชน และการอนุญาตดังกล่าวสามารถทำได้โดยเพียงลงนามในสิ่งแปลกๆ ที่คุณไม่เข้าใจผ่านกระเป๋าเงินของคุณ

ดังนั้นเมื่อลงนามลายเซ็นในกระเป๋าเงิน หากคุณไม่เข้าใจ หรือถูกหลอกให้ลงนามในธุรกรรมที่ได้รับอนุญาต ผู้อื่นจะสามารถใช้สินทรัพย์ดิจิทัลทั้งหมดของคุณได้ ดังนั้น คุณจึงจำเป็นต้องมีความเข้าใจพื้นฐานเกี่ยวกับการอนุญาต เพื่อที่คุณจะได้ไม่ลงนามธุรกรรมดังกล่าวโดยผิดพลาดเมื่อลงนามในกระเป๋าสตางค์ของคุณ โดยสรุป ข้อเสนอแนะพื้นฐานมีดังนี้: ประการแรกคือปกป้องคีย์ส่วนตัวของคุณเอง และได้ให้วิธีปฏิบัติบางประการไว้ด้วย ประการที่สองคือต้องระมัดระวังเสมอเมื่อทำธุรกรรมแบบ on-chain คำนึงถึงความปลอดภัยและหลีกเลี่ยงการถูกฟิชชิ่ง ประการที่สามคือต้องมีความเข้าใจพื้นฐานเกี่ยวกับกลไกการอนุญาตของ Crypto เพื่อไม่ให้ลงนามธุรกรรมที่ได้รับอนุญาตบางอย่างโดยผิดพลาด

อเล็กซ์: จริงๆ แล้ว ฉันมีเพื่อนที่ร่ำรวยมากอยู่รอบตัวค่อนข้างเยอะ และพวกเขายังเป็น OG หรือผู้มากประสบการณ์ในอุตสาหกรรมนี้ด้วย ถ้าจะพูดกันตามหลักเหตุผลแล้ว พวกเขาทั้งหมดมีความตระหนักด้านความปลอดภัยบางประการดังที่คุณได้กล่าวถึง แต่ทุกปี ฉันได้ยินเกี่ยวกับนักลงทุนรายใหญ่บางรายรอบตัวฉันที่ถูกปล้น

มีคำกล่าวในอุตสาหกรรมว่า หากแฮกเกอร์มืออาชีพเล็งเป้าหมายที่คุณอยู่ แสดงว่าเขารู้ว่ามีเงินอยู่ในกระเป๋าเงินของคุณ ถ้าเขาใช้ทรัพยากรที่มีทั้งหมดแล้ว คุณจะหลบหนีได้ยาก คุณคิดว่าคำกล่าวนี้สมเหตุสมผลหรือไม่? เป็นอย่างนั้นจริงหรือ?

โจว หยานจิน: คำถามของคุณดีมาก ในความเป็นจริง ปัญหาด้านความปลอดภัย โดยเฉพาะอย่างยิ่งปัญหาที่เกี่ยวข้องกับความปลอดภัยของ Crypto ถือเป็นการเผชิญหน้าที่ไม่สมดุล หากคุณมีทรัพย์สินเพียงพอในกระเป๋าเงิน คุณจะกลายเป็นเป้าหมายของการโจมตีแบบเจาะจงได้อย่างง่ายดาย เมื่อคุณกลายเป็นเป้าหมายการโจมตีแบบเจาะจงของใครสักคน พวกเขาจะระดมทรัพยากรมากมาย ไม่ว่าจะเป็นทรัพยากรด้านวิศวกรรมสังคม ทรัพยากรทางเทคนิค หรือทรัพยากรอื่นๆ เพื่อออกแบบวิธีโจมตีคุณโดยอิงจากรูปแบบพฤติกรรมประจำวัน นิสัยการใช้ชีวิต ฯลฯ ของเป้าหมาย ในสถานการณ์นี้ ฉันไม่สามารถพูดได้ว่าจะแน่นอน 100% แต่คุณจะปกป้องตัวเองได้ยากมาก เพราะคนอื่นระดมทรัพยากรมากมายเพื่อต่อสู้กับคุณ และคุณมีแค่ตัวคุณเองเท่านั้น มันจึงเป็นการเผชิญหน้าที่ไม่สมดุลอย่างมาก

ในสถานการณ์เช่นนี้ ฉันคิดว่าหลักการพื้นฐานคือ ก่อนอื่นเลย เราชาวจีนมีคำพูดที่ว่า ไม่ควรเปิดเผยความมั่งคั่ง นั่นคือ คุณไม่ควรเปิดเผยทรัพย์สินของคุณต่อสาธารณะ และหลีกเลี่ยงการเปิดเผยความสัมพันธ์ระหว่างข้อมูลประจำตัวออฟไลน์ส่วนบุคคลของคุณและข้อมูลประจำตัวของทรัพย์สินบนเครือข่าย ประเด็นที่สองก็คือ แม้ว่าคุณจะเป็นผู้ใช้ที่มีมูลค่าทรัพย์สินสุทธิสูง แต่ทรัพย์สินของคุณก็อาจรั่วไหลจากผู้อื่นได้ ดังนั้น คุณจึงต้องแยกทรัพย์สินของคุณออกมาให้มากที่สุดเท่าที่จะเป็นไปได้ นั่นคือสินทรัพย์ที่คุณมักจะใช้ในชีวิตประจำวันอาจมีมูลค่าสูงสุด 100,000 หยวนในกระเป๋าเงินเฉพาะของคุณ หากคนอื่นเล็งเป้าคุณ มากที่สุดที่พวกเขาสามารถทำได้คือหลอกลวงเงิน 100,000 หยวนของคุณ สินทรัพย์ขนาดใหญ่ชิ้นอื่นๆ ของคุณควรเก็บไว้ในกระเป๋าเงินที่คุณแทบไม่เคยได้ใช้เลย หากคุณจำเป็นต้องใช้สินทรัพย์เหล่านี้ คุณควรหาผู้เชี่ยวชาญด้านความปลอดภัยเพื่อช่วยคุณตรวจสอบขั้นตอนการปฏิบัติงานและข้อกำหนดที่ดีกว่า เพื่อหลีกเลี่ยงความเสี่ยงที่ใหญ่หลวง

3 เหตุการณ์ด้านความปลอดภัยที่ประทับใจที่สุด

อเล็กซ์: ผมเข้าใจแล้ว ข้อเสนอแนะนี้ถือว่าสำคัญมากจริงๆ คุณสามารถแบ่งปันเหตุการณ์ด้านความปลอดภัยที่ประทับใจที่สุด 3 อันดับแรกที่คุณเคยพบเจอในอาชีพของคุณให้เราฟังได้หรือไม่? อาจเป็นประสบการณ์ของคุณเอง หรืออาจเป็นจากเพื่อน ๆ หรือการสังเกตของคุณเองก็ได้

โจว หยานจิน: ฉันสามารถแบ่งปันเหตุการณ์ด้านความปลอดภัยบางอย่างที่เราได้มีส่วนร่วมด้วยตนเองและประทับใจเราเป็นอย่างยิ่งให้คุณได้ ตัวอย่างแรกที่ฉันจำได้คือประมาณวันที่ 10 กุมภาพันธ์ 2023 เมื่อมีการโจมตีโปรโตคอลบนเชนที่เรียกว่า Platypus Protocol เป็นแพลตฟอร์มการกู้ยืมที่มีฟังก์ชั่นอื่นๆ โปรโตคอลนี้มีช่องโหว่ด้านความปลอดภัย ซึ่งทำให้แฮกเกอร์ขโมยทรัพย์สินไปได้เกือบ 9 ล้านเหรียญสหรัฐ เหตุผลที่เหตุการณ์นี้ทำให้ฉันประทับใจมากก็คือ แฮกเกอร์ได้ทำผิดพลาดเมื่อโจมตีโปรโตคอล Platypus เมื่อเขาโจมตีสัญญาอัจฉริยะ เขาจะต้องพัฒนาสัญญาอัจฉริยะด้วยตัวเอง สัญญาอัจฉริยะสามารถเข้าใจได้ว่าเป็นสตริงของโค้ดที่สามารถทำงานด้วยตัวเองได้ เมื่อแฮกเกอร์โจมตี เขาจะใช้สัญญาโจมตีของตัวเอง และสัญญาโจมตีนี้จะทำให้กระบวนการโจมตีทั้งหมดเสร็จสมบูรณ์

แต่ผู้โจมตีก็เป็นมนุษย์ และเราทุกคนรู้ดีว่ามนุษย์ก็ทำผิดพลาดได้ เขาทำผิดพลาดเมื่อเขียนสัญญาอัจฉริยะเพื่อโจมตี และสัญญายังมีจุดอ่อนที่อาจถูกใช้ประโยชน์ได้ ช่องโหว่นี้สามารถดึงเงินทุนที่จัดเก็บไว้ในสัญญาโจมตี ซึ่งเป็นเงินทุนที่ได้รับจากการโจมตีโปรโตคอล Platypus เช่นกัน ในฐานะบริษัทรักษาความปลอดภัย เรามักจะติดตามเหตุการณ์การโจมตีที่เกิดขึ้นบนเครือข่ายอยู่เสมอ และเรามีชุดเครื่องมือตรวจจับการโจมตีที่สามารถตรวจจับการโจมตีประเภทดังกล่าวที่เกิดขึ้นบนเครือข่ายได้ตั้งแต่ครั้งแรก

โดยบังเอิญเมื่อตุ่นปากเป็ดถูกโจมตี เราก็ตรวจพบมันทันที เราจะทำการวิเคราะห์เหตุการณ์ด้านความปลอดภัยนี้โดยอิสระ เช่น สาเหตุของการโจมตีคืออะไร และช่องโหว่อยู่ที่ใด ในเวลาเดียวกันเราจะติดต่อฝ่ายโครงการเพื่อช่วยเหลือพวกเขาและบอกวิธีการแก้ไขและจัดการกับปัญหา ในระหว่างกระบวนการนี้ เราได้ค้นพบช่องโหว่ของแฮ็กเกอร์ และแจ้งต่อฝ่ายโครงการว่าพวกเขาสามารถใช้ประโยชน์จากช่องโหว่ดังกล่าวได้ จากนั้นเราได้ทำงานร่วมกับเจ้าของโครงการเพื่อพัฒนาโค้ดเพื่อดึงเงินโจมตี 2.4 ล้านดอลลาร์จากสัญญาของผู้โจมตีทั้งหมด 9.5 ล้านดอลลาร์ นี่เป็นครั้งแรกในประวัติศาสตร์ของการรักษาความปลอดภัยของบล็อคเชนที่เราเรียกว่าการแฮ็กกลับ ซึ่งหมายถึงการใช้ประโยชน์จากช่องโหว่เพื่อดึงเงินที่ขโมยมาและส่งคืนให้กับฝ่ายโครงการ การเผชิญหน้าครั้งนี้มีความน่าสนใจเป็นพิเศษ และฉันก็ประทับใจมากทีเดียว

อเล็กซ์: คุณมีความสัมพันธ์ร่วมมือกับตุ่นปากเป็ดมาก่อนหรือไม่ หรือคุณเริ่มสื่อสารหลังจากเหตุการณ์นี้?

โจวหย่าจิน: จริงๆ แล้วเราไม่มีความสัมพันธ์ความร่วมมือใดๆ มาก่อน และเราติดต่อกันหลังจากเหตุการณ์นี้เกิดขึ้นเท่านั้น ฉันสามารถขยายความเกี่ยวกับกระบวนการจัดการเหตุการณ์ด้านความปลอดภัยทั้งหมดได้ เรามีกลไกโจมตีความปลอดภัยของเราเองภายใน เมื่อเกิดเหตุการณ์ที่เกี่ยวข้องกับความปลอดภัย เครื่องยนต์ของเราจะส่งสัญญาณเตือนทันที และเรามีทีมตอบสนองเหตุฉุกเฉินภายในเพื่อวิเคราะห์เหตุการณ์นั้นร่วมกัน ขั้นแรกเราจะดูว่าโปรโตคอลใดที่ถูกโจมตี จากนั้นเราจะพยายามติดต่อฝ่ายโครงการผ่านช่องทางต่างๆ ไม่ว่าจะเป็น Twitter แบบออนไลน์หรือช่องทางอื่นๆ

ในกรณีของ Platypus เราไม่ได้มีข้อมูลติดต่อของพวกเขามาก่อน เราติดต่อกับฝ่ายโครงการผ่านทาง Twitter และช่วยเขาวิเคราะห์สาเหตุของการโจมตีทั้งหมด เนื่องจากหลายครั้งฝ่ายโครงการไม่ทราบว่าตนเองถูกโจมตีทำไม อย่างไรก็ตาม เงินในสัญญาก็หายไป แต่สาเหตุนั้นไม่ชัดเจน ขณะนี้จำเป็นต้องมีบริษัทรักษาความปลอดภัยมาช่วยวิเคราะห์เขา หลังจากการวิเคราะห์แล้ว คำถามคือจะซ่อมแซมโปรโตคอลอย่างไร

หากสาเหตุชัดเจน แสดงว่าช่องโหว่นั้นจำเป็นต้องได้รับการแก้ไข การจะติดแพตช์อย่างไรให้ปลอดภัยหลังติดแพตช์และการติดตามเงินที่ถูกขโมยก็ต้องอาศัยบริษัทรักษาความปลอดภัยอย่างเราเข้ามาช่วยเหลือเช่นกัน เราจะทำงานร่วมกับฝ่ายโครงการตลอดกระบวนการตอบสนองต่อเหตุฉุกเฉินทั้งหมด โดยเฉพาะในกรณีนี้ เราไม่เคยติดต่อกับโครงการนี้มาก่อนเลย แต่โชคดีที่ในระหว่างขั้นตอนการจัดการ เราติดต่อเขาได้ทันเวลาและสามารถเรียกคืนเงินส่วนหนึ่งได้ ในความเป็นจริง ในหลายกรณี เราค้นพบการโจมตี แต่ไม่สามารถติดต่อฝ่ายโครงการได้

กรณีที่สองก็ค่อนข้างน่าสนใจเช่นกัน และเกิดขึ้นในปี 2023 เช่นกัน ผู้ฟังชาวจีนของเราอาจคุ้นเคยกับกรณีนี้มากกว่า เนื่องจากกรณีนี้เกี่ยวข้องกับโครงการที่เรียกว่า ParaSpace ParaSpace คือ NFT ที่สามารถใช้ในการจำนำ Bored Ape และยืมสินทรัพย์อื่น ๆ ได้ ฉันรู้ว่า OG ชาวจีนจำนวนมากเป็นเจ้าของ NFT Boring Ape จริงๆ แล้วโปรโตคอลนี้มีช่องโหว่ด้านความปลอดภัย และถูกโจมตีเมื่อเดือนมีนาคม 2023 ฉันจำได้ชัดเจนว่าตอนนั้นเป็นเวลาประมาณเช้าหรือเที่ยงตามเวลาปักกิ่ง หลังจากระบบของเราออกคำเตือนทันที

อันดับแรก เราได้ติดต่อฝ่ายโครงการเพื่อวิเคราะห์สาเหตุ อย่างไรก็ตาม เราพบว่าธุรกรรมการโจมตีครั้งแรกที่เกิดขึ้นในระบบของเราถูกย้อนกลับไปยังเครือข่ายแล้ว การย้อนกลับหมายถึงผู้โจมตีไม่มีค่าธรรมเนียมธุรกรรมเพียงพอเมื่อทำการโจมตี ดังนั้นธุรกรรมการโจมตีจึงไม่สามารถอัพโหลดไปยังเครือข่ายได้สำเร็จ อย่างไรก็ตาม พฤติกรรมการทำธุรกรรมและร่องรอยการโจมตีของเขาได้รับการเปิดเผยบนเครือข่ายแล้ว ระบบของเราสามารถตรวจจับสิ่งที่เรียกว่าธุรกรรมย้อนกลับ ซึ่งเป็นธุรกรรมที่ล้มเหลวแต่ถูกวางไว้ในเครือข่ายได้ นี่คือความสามารถของเครื่องยนต์ของเราในการระบุว่านี่คือธุรกรรมการโจมตี

หลังจากทำการตัดสินแล้ว เราคิดหาวิธีจำลองพฤติกรรมของธุรกรรมการโจมตีและสร้างธุรกรรมการโจมตีโดยอัตโนมัติที่เหมือนกัน แต่การโจมตีนี้จะต้องใส่เครื่องหมายคำพูด และเราต้องแทนที่ที่อยู่ผลกำไรในธุรกรรมด้วยที่อยู่ของเรา ด้วยวิธีนี้ เราจะสามารถกู้คืนเงินในข้อตกลงที่กำลังตกอยู่ในอันตรายและใส่ไว้ในบัญชีนิรภัยของเราเอง จากนั้นติดต่อฝ่ายโครงการเพื่อคืนเงินให้กับพวกเขา สิ่งนี้คล้ายกับการพูดว่ามีดของคนร้ายกำลังจะฟันลงมา แต่ด้วยเหตุผลบางประการความพยายามครั้งแรกจึงล้มเหลว เรายังสามารถลองใช้วิธีเดียวกันในการถอนเงินล่วงหน้าได้ ดังนั้นเมื่อผู้โจมตีพยายามโจมตีเป็นครั้งที่สอง จะไม่มีเงินอยู่ในโปรโตคอล และการโจมตีก็จะล้มเหลว

หลังจากที่เรามีแนวคิดนี้แล้ว จริงๆ แล้วเราก็มีระบบภายในที่สามารถทำให้กระบวนการนี้เป็นแบบอัตโนมัติได้อย่างรวดเร็ว จากนั้นเราจึงสร้างธุรกรรม “โจมตี” โดยอัตโนมัติ โพสต์ลงในเครือข่าย และถอนสินทรัพย์ 5 ล้านดอลลาร์จากโปรโตคอล ParaSpace จากนั้นเราจึงติดต่อกับฝ่ายโครงการเพื่อขอคืนเงินให้กับพวกเขา นี่เป็นเรื่องที่น่าสนใจมากจริงๆ ถือเป็นจำนวนเงินที่มากที่สุดในประวัติศาสตร์ เราเรียกมันว่าการกู้ภัย ซึ่งเป็นปฏิบัติการเพื่อประหยัดเงินบนเครือข่าย หากไม่ได้รับความช่วยเหลือนี้ ทรัพย์สินของพวกเขาอาจถูกปล้นไปได้

อย่างไรก็ตาม เหตุการณ์ด้านความปลอดภัยนี้ทำให้เราต้องคิดมาก เพราะมีประเด็นทางศีลธรรมและจริยธรรมด้านความปลอดภัยเกี่ยวข้องอยู่มากมาย ตัวอย่างเช่น หลังจากที่เราสังเกตการโจมตี แม้ว่าเราจะถอนเงินออกจากโปรโตคอลแล้วก็ตาม แต่โดยพื้นฐานแล้วยังคงเป็นธุรกรรมการโจมตี มันจำลองพฤติกรรมของผู้โจมตี แม้ว่าเงินจะถูกถอนออกและส่งคืนให้กับฝ่ายโครงการด้วยความตั้งใจดี แต่หากมองในแง่ดีก็ยังถือเป็นการโจมตีอยู่ดี สิ่งนี้เกี่ยวข้องกับประเด็นเรื่องการปฏิบัติตามข้อกำหนดและจริยธรรมด้านความปลอดภัย

สิ่งที่เราคิดในตอนนั้นก็คือ เมื่อคุณเห็นคนร้ายแทงคนดีด้วยมีด คุณควรพยายามหยุดมันหรือปล่อยมันไป ฉันคิดว่าทางเลือกของเราคือการดำเนินการเพื่อหยุดยั้งมัน แม้ว่าจะมีประเด็นด้านศีลธรรมและจริยธรรมความปลอดภัยอยู่บ้างก็ตาม หลังจากเหตุการณ์นี้ เราก็ตระหนักได้อย่างลึกซึ้งว่าการรักษาความปลอดภัยของห่วงโซ่นั้นไม่สามารถรักษาได้ด้วยการแฮ็กมันกลับคืนมาตามที่เราเพิ่งพูดถึงไป เจ้าของโครงการควรได้รับแจ้งถึงความเสี่ยงด้านความปลอดภัยที่เขาเผชิญในโอกาสแรก เขาควรทราบว่าโครงการนี้ถูกโจมตี จากนั้นเขาจึงสามารถกำหนดค่ากลยุทธ์การทำงานอัตโนมัติบางอย่างได้

เมื่อเหตุการณ์ที่เกี่ยวข้องกับความปลอดภัยเกิดขึ้น ระบบของเราจะบอกเขาว่าเขาควรสามารถหยุดโปรโตคอลโดยอัตโนมัติได้ เพื่อไม่ให้การโจมตีประสบความสำเร็จ ไม่เพียงแต่ป้องกันการโจมตีและประหยัดเงินของผู้ใช้งาน แต่ยังหลีกเลี่ยงความเสี่ยงด้านจริยธรรมด้านความปลอดภัยอีกด้วย นี่คือแนวคิดทั้งหมดเบื้องหลังการพัฒนาผลิตภัณฑ์ตรวจสอบและบล็อกการโจมตีของ Phalcon หลังจากเหตุการณ์สองครั้งนี้ นี่เป็นเหตุการณ์ด้านความปลอดภัยสำคัญครั้งที่สองที่ฉันจำได้

อเล็กซ์: ดูเหมือนว่าฉันจะสังเกตเห็นเหตุการณ์ด้านความปลอดภัยในตอนนั้น คุณเพิ่งกล่าวถึงการโจมตีเชิงป้องกัน ผมอยากขอทราบรายละเอียดหน่อยคับ. หลังจากการโจมตีแบบย้อนกลับที่คุณเพิ่งกล่าวถึงเกิดขึ้น คุณจะต้องมีการสนทนาภายในและการตัดสินใจเพื่อดูว่าจะเปิดตัวการโจมตีเชิงป้องกันหรือไม่ เวลาผ่านไปเท่าใดระหว่างการค้นพบเหตุการณ์จนถึงการตัดสินใจปกป้องกองทุน?

โจว หยานจิน: มันเร็วมาก เราใช้เวลาเพียงไม่กี่นาทีตั้งแต่ที่เรารู้ครั้งแรกจนกระทั่งเราทำเสร็จ เนื่องจากบริษัทได้จัดทำกระบวนการประมวลผลด้านความปลอดภัยอย่างครอบคลุม จึงจะหารือและตัดสินใจทันทีหลังจากเรียนรู้เกี่ยวกับปัญหาความปลอดภัย หลังจากตัดสินใจแล้ว เนื่องจากมีเครื่องมืออัตโนมัติบางอย่าง จึงสามารถดำเนินการต่างๆ ได้อย่างรวดเร็ว

อเล็กซ์: ฉันเข้าใจ.

Zhou Yajin: กรณีที่สามคือเหตุการณ์ด้านความปลอดภัยของ Bybit ที่ทุกคนควรจะให้ความสนใจเมื่อเร็ว ๆ นี้ ในเดือนกุมภาพันธ์ ทรัพย์สินมูลค่า 1.5 พันล้านเหรียญสหรัฐถูกขโมยไป การโจมตีครั้งนี้ถือเป็นเหตุการณ์ทางด้านความปลอดภัยที่สร้างความเสียหายสูงที่สุดในแวดวงความปลอดภัยจนถึงปัจจุบัน และความสูญเสียที่เกิดขึ้นนั้นแตกต่างอย่างมากจากเหตุการณ์ทางด้านความปลอดภัยสองครั้งที่ฉันได้กล่าวถึงก่อนหน้านี้ เหตุการณ์ด้านความปลอดภัยสองครั้งก่อนหน้านี้มีสาเหตุมาจากช่องโหว่ของสัญญา แต่เหตุการณ์ด้านความปลอดภัยของ Bybit จริง ๆ แล้วไม่มีส่วนเกี่ยวข้องกับช่องโหว่ของสัญญาอัจฉริยะแต่อย่างใด เราเรียกมันว่าห่วงโซ่ความไว้วางใจอันยาวนาน ในระบบที่มีเงินทุนจำนวนมากและมีห่วงโซ่ความไว้วางใจยาวนานเช่นนี้ ผู้โจมตีจะพบจุดอ่อนที่สุดผ่านการโจมตีทางวิศวกรรมสังคมแล้วจึงโจมตีจนเสร็จสิ้น โดยเฉพาะอย่างยิ่ง Bybit ใช้กระเป๋าเงินสัญญาที่เรียกว่า SAFE ซึ่งเป็นกระเป๋าเงินสัญญาอัจฉริยะในการจัดการ

SAFE คือกระเป๋าเงินหลายลายเซ็น คุณอาจจะคิดว่ามันเป็นล็อคที่ต้องมีคนสามคนเปิดในเวลาเดียวกัน จากนั้นจึงจะสามารถเปิดล็อคและนำเงินข้างในออกมาได้ ล็อคนี้ถูกสร้างขึ้นโดยโครงการที่จัดทำกระเป๋าเงินสัญญาดังกล่าว คุณจะพบว่าห่วงโซ่ความน่าเชื่อถือในระบบนี้มีความยาวมาก ซึ่งรวมถึงนักพัฒนาของกระเป๋าเงิน SAFE ผู้ที่ดำเนินการโปรโตคอล SAFE และอินเทอร์เฟซ UI ในเบราว์เซอร์เมื่อใช้กระเป๋าเงิน SAFE นอกจากนี้ยังมีผู้ดำเนินการกระเป๋าเงิน SAFE นั่นก็คือพนักงาน Bybit ที่มีกุญแจสามดอก หรือบุคคลที่มีอำนาจในการดำเนินการกองทุน เขาต้องใช้งานกระเป๋าเงิน SAFE ผ่านเบราว์เซอร์คอมพิวเตอร์หรือกระเป๋าเงินฮาร์ดแวร์ของเขา คุณจะพบว่ามีหลายแง่มุมที่เกี่ยวข้องที่นี่

เมื่อเราพูดถึงความปลอดภัย ความยากในการโจมตีและป้องกันความปลอดภัยก็คือ เมื่อทำการป้องกัน คุณจะต้องมั่นใจว่าระบบของคุณไม่มีข้อบกพร่องใดๆ เนื่องจากระดับความปลอดภัยของระบบขึ้นอยู่กับบอร์ดที่สั้นที่สุดในระบบ ผู้โจมตีไม่จำเป็นต้องเจาะเข้าไปในส่วนที่ทำได้ดีของระบบของคุณ เขาเพียงต้องค้นหาจุดที่อ่อนแอที่สุดในระบบของคุณ จากนั้นจึงเปิดการโจมตีผ่านจุดนั้นเพื่อทำให้กระบวนการทั้งหมดเสร็จสมบูรณ์ ในกรณี Bybit กระบวนการโจมตีทั้งหมดเป็นดังต่อไปนี้ ก่อนอื่นพวกเขาอาจพบว่านี่เป็นการโจมตีแบบกำหนดเป้าหมาย เนื่องจากพวกเขาพบว่ากระเป๋าเงิน Bybit SAFE ซึ่งเป็นกระเป๋าเงินของสัญญาอัจฉริยะมีสินทรัพย์จำนวนมาก เป้าหมายที่พวกเขาเลือกคือผู้พัฒนาของกระเป๋าเงิน SAFE เพราะอย่างที่เราเพิ่งพูดไปแล้วว่า ในที่สุดไม่ว่าใครจะเป็นผู้ดำเนินการ พวกเขาจะต้องผ่านอินเทอร์เฟซ UI ที่ SAFE จัดทำไว้ ซึ่งก็คือเว็บไซต์ของ SAFE เพื่อดำเนินการสินทรัพย์ของคุณ จะเกิดอะไรขึ้นถ้าฉันสามารถแฮ็คเข้าไปในคอมพิวเตอร์ของนักพัฒนาได้โดยใช้กลวิธีทางสังคมหรือวิธีการอื่นๆ และปล่อยให้นักพัฒนานำโค้ดที่เป็นอันตรายไปใช้งานบนเว็บไซต์ SAFE จากนั้นเมื่อมีใครก็ตามเข้าไปที่เว็บไซต์ SAFE เพื่อควบคุมกระเป๋าเงินของเขา พฤติกรรมการทำงานที่พวกเขาเห็นนั้นไม่สอดคล้องกับพฤติกรรมการทำงานจริงบนเครือข่าย แต่ผู้ใช้ทั่วไปกลับไม่เข้าใจ เช่น เมื่อผู้ใช้งานทั่วไปใช้งานแอปของธนาคาร เขาจะเห็นการโอน 100 หยวนในแอปของธนาคาร แต่จริง ๆ แล้วมีการโอนออก 900 หยวน แต่ฉันไม่ทราบเพราะสิ่งที่ฉันเห็นในแอปนี้คือการโอน 100 หยวน หากคุณแฮ็คเข้าไปในตัวผู้พัฒนา APP หรือผู้พัฒนากระเป๋าสตางค์ SAFE และทำให้ส่วนต่อประสานการปฏิบัติการที่ผู้ปฏิบัติงานเห็นในกระเป๋าสตางค์ไม่สอดคล้องกับกฎพฤติกรรมจริง คุณสามารถดำเนินกระบวนการโจมตีทั้งหมดได้ จริงๆก็ทำแบบนี้เหมือนกัน

แล้วมันจะได้รับอนุญาตจากผู้พัฒนาได้อย่างไร? กระบวนการโจมตีทั้งหมดเสร็จสมบูรณ์ด้วยการโจมตีทางวิศวกรรมสังคม แม้ว่านักพัฒนา SAFE จะถูกละเมิด แต่เราก็ยังมีโอกาสอื่นๆ อยู่ ตัวอย่างเช่น หากกระเป๋าเงินของคุณบอกคุณได้ว่าธุรกรรมที่ลงนามคืออะไรเมื่อมีการลงนาม และไม่สอดคล้องกับธุรกรรมที่คุณเห็นบนเว็บไซต์ แสดงว่ามีโอกาสเกิดขึ้นจริง ในอดีตธนาคารหลายแห่งมี U-Shield หากคุณมีประสบการณ์ คุณจะพบว่าเมื่อกดปุ่มบน U-Shield จะมีหน้าจอแสดงผลแจ้งว่ากำลังมีการโอน 500 หยวน ไม่ว่าคุณต้องการยืนยันหรือไม่ก็ตาม คุณสามารถยืนยันได้บนอุปกรณ์ U-Shield จริงๆ แล้วมันช่วยแก้ปัญหานี้ได้ เพราะว่าแม้ว่า APP ของฉันจะถูกโจมตี APP ก็จะแจ้งว่าคุณได้โอนไปแล้ว 100 หยวน แต่เมื่อคุณไปยืนยันในตอนท้าย U Shield กลับแจ้งว่าคุณได้โอนไปแล้ว 500 หยวน และคุณจะพบกับความไม่สอดคล้องกัน

โดยเฉพาะอย่างยิ่งในกรณีของ Bybit หากกระเป๋าสตางค์ลายเซ็นของคุณมีความสามารถในการเตือนความจำที่ดีกว่า ก็สามารถป้องกันการโจมตีดังกล่าวได้ แต่น่าเสียดายที่ในกรณีนี้ กระเป๋าสตางค์ฮาร์ดแวร์การลงนามไม่ได้ทำงานได้ดีเป็นพิเศษ หลังจากที่ UI ของ SAFE ถูกแฮ็ก ธุรกรรมอัปเกรดที่เป็นอันตรายก็ได้รับการลงนาม และจากนั้นผู้โจมตีก็เข้าควบคุมกระเป๋าสตางค์และโอนเงิน 1.5 พันล้านดอลลาร์ออกไป นี่จึงเป็นสิ่งหนึ่งที่ประทับใจฉันมาก

การเปิดเผยประการหนึ่งที่เหตุการณ์นี้ทำให้เราทราบคือ การตรวจสอบไขว้เป็นสิ่งจำเป็นเมื่อเกี่ยวข้องกับเงินทุนจำนวนมาก คุณไม่สามารถไว้วางใจสิ่งที่ผู้ให้บริการรายเดียวหรือจุดเดียวบอกคุณได้ หากคุณพึ่งพาผู้จำหน่ายเพียงรายเดียวหรืออินเทอร์เฟซเพียงตัวเดียวที่แจ้งข้อมูลให้คุณทราบ ทันทีที่ข้อมูลดังกล่าวถูกบุกรุก การเชื่อมโยงระบบก็จะหายไป ดังนั้นการตรวจสอบแบบไขว้จึงมีความจำเป็น ต้องมีบุคคลที่สามมาช่วยคุณตรวจสอบว่าสิ่งที่คุณเห็นเป็นความจริงจากมุมมองของบุคคลที่สามหรือไม่ ในกรณีเช่นนี้ความเสี่ยงสามารถลดลงได้อีก

ประสบการณ์ส่วนตัวของการโจมตีทางวิศวกรรมสังคม

อเล็กซ์: ในกรณีที่คุณเพิ่งกล่าวถึง มีคำศัพท์ที่เรียกว่า "การโจมตีทางวิศวกรรมสังคม" ผู้ฟังบางคนอาจไม่เข้าใจความหมายของแนวคิดนี้ คุณสามารถอธิบายได้ไหม?

โจวหย่าจิน: ชื่อเต็มของการโจมตีทางสังคมคือการโจมตีทางวิศวกรรมสังคม ไม่ได้ใช้เทคนิคใดๆ ทั้งสิ้น แต่ใช้พฤติกรรมการทำงาน ความสัมพันธ์ระหว่างบุคคล ความรับผิดชอบในงาน ฯลฯ ของคุณ เพื่อออกแบบชุดวิธีการโจมตีต่อคุณ ฉันสามารถยกตัวอย่างการโจมตีของนักสังคมสงเคราะห์ที่ฉันประสบมาด้วยตัวเอง เพื่อให้ทุกคนเข้าใจได้ง่ายขึ้น เนื่องจากฉันเป็นซีอีโอของ BlockSeo ฉันจึงมักได้รับข้อมูลซึ่งส่วนใหญ่สามารถแบ่งออกเป็นสองประเภท ประเภทแรกคือการเชิญชวนให้เข้าร่วมในพอดแคสต์ การประชุม และการสัมภาษณ์ หมวดที่สองคือสถาบันการลงทุนบางแห่งที่จะติดต่อคุณและแจ้งให้ทราบเกี่ยวกับโอกาสในการลงทุนต่างๆ ครั้งหนึ่งฉันได้พบกับคนๆ หนึ่งที่ส่งอีเมลผ่านบัญชีอีเมลของบริษัทโดยบอกว่าเขาเป็นคนจากสถาบันการลงทุน และหวังว่าจะได้หารือเกี่ยวกับโอกาสการลงทุนบางอย่าง

เรามีความรู้สึกปลอดภัยแข็งแกร่งและจะตรวจสอบอีเมลและชื่อโดเมนของเขา บางครั้งเราจะทำการตรวจสอบประวัติและดูเว็บไซต์และโปรไฟล์การลงทุนของบริษัทของเขา หลังจากตรวจสอบประวัติแล้ว ฉันพบว่านี่เป็นองค์กรที่น่านับถือมาก แม้ว่าฉันจะไม่เคยได้ยินชื่อมาก่อนเลย ฉันจึงทำการนัดหมายกับองค์กรนี้ในปฏิทิน แต่ครั้งนี้คุณจะพบว่าปรากฏการณ์แปลกประหลาดครั้งแรกเกิดขึ้นแล้ว เมื่อคุณกำหนดเวลาการประชุมบนปฏิทิน คุณจะไม่ได้รับลิงก์การประชุมใดๆ

โดยปกติเราจะกำหนดการประชุมผ่านทาง Zoom, Google Meet หรือซอฟต์แวร์การประชุมอื่นๆ แต่เขาไม่ได้ให้ลิงค์การประชุมมาเลย มีเพียงการนัดหมายเท่านั้น เมื่อถึงเวลาประชุม ให้ส่งอีเมลถึงเขาและบอกว่าเรากำลังประชุมกันแล้ว โปรดส่งลิงก์การประชุมของคุณมาให้ฉันด้วย เขาจะส่งลิงก์การประชุมให้คุณทันที หลังจากคุณคลิกลิงก์ คุณจะพบบางสิ่งแปลก ๆ: เขาขอให้คุณดาวน์โหลดซอฟต์แวร์

หากตอนนี้คุณไม่มีประสบการณ์และรู้สึกวิตกกังวลเกี่ยวกับการประชุมที่จะเกิดขึ้น เขาจะใช้ประโยชน์จากความวิตกกังวลของคุณและคอยเร่งเร้าคุณผ่านอีเมลและส่งอีเมลรัวๆ ให้คุณ คุณมีความกระตือรือร้นที่จะทำให้โอกาสนี้เกิดขึ้นจริงและสามารถติดตั้งซอฟต์แวร์ได้โดยไม่ต้องลังเล แต่ในความเป็นจริงแล้วมันเป็นการประชุมทางวิดีโอที่มีส่วนประกอบที่เป็นอันตรายซึ่งจะขโมยคีย์ส่วนตัวที่จัดเก็บไว้ในคอมพิวเตอร์ของคุณ นี่เป็นการโจมตีทางวิศวกรรมสังคมจริงที่ฉันประสบพบเจอ ดังนั้นคุณจะเห็นได้ว่าผู้โจมตีกำหนดเป้าหมายตำแหน่งของฉันในบริษัทและความรับผิดชอบในงานของฉัน โดยใช้ประโยชน์จากความวิตกกังวลของฉันก่อนการประชุม

อเล็กซ์: ฉันเห็นงานที่ดึงดูดความสนใจจากอุตสาหกรรมมากเมื่อไม่กี่วันก่อน ผู้ก่อตั้งโปรโตคอลรายหนึ่งเล่าว่า ขณะที่เขาเข้าร่วมงานปาร์ตี้ออฟไลน์ โทรศัพท์มือถือของเขาอยู่ห่างจากเขาไปประมาณ 10 นาที และเงินประมาณหลายล้านหยวนก็ถูกขโมยไปจากกระเป๋าสตางค์โทรศัพท์มือถือของเขา สมมติว่าการโจมตีครั้งนี้เกิดขึ้นเมื่อโทรศัพท์ของเขาไม่อยู่ นี่จะเป็นการโจมตีทางวิศวกรรมสังคมประเภทหนึ่งด้วยหรือไม่

Zhou Yajin:ใช่แล้ว ผมคิดว่ามันเป็นการโจมตีทางวิศวกรรมสังคมประเภทหนึ่ง แต่ไม่ใช่การโจมตีทางวิศวกรรมสังคมในความหมายปกติของเรา เพราะในกรณีนี้ โทรศัพท์จะอยู่ห่างจากเขาเพียงช่วงระยะเวลาหนึ่งเท่านั้น แน่นอนว่าจุดประสงค์หลักของการที่คนอื่นเชิญเขาหรือเข้าหาเขาอาจเป็นการเอาโทรศัพท์ของเขา แต่หลังจากได้รับโทรศัพท์แล้ว วิธีปลดล็อคโทรศัพท์และรับเงินเข้าไปจริงๆ แล้วต้องอาศัยการสนับสนุนทางเทคนิคที่แข็งแกร่งมาก

หลักการรักษาความปลอดภัยเมื่อโต้ตอบกับโปรโตคอลบล็อคเชน

อเล็กซ์: ฉันเข้าใจ เราเพิ่งพูดคุยเกี่ยวกับเหตุการณ์สำคัญด้านความมั่นคงที่เป็นตัวแทนมากมาย ตอนนี้เราลองย้อนกลับไปในยุคที่คนธรรมดาอย่างเราโต้ตอบกับโปรโตคอลบล็อคเชน ตามที่คุณกล่าวไว้ โปรเจ็กต์ต่างๆ มากมายที่คุณเคยให้บริการมาก่อนเป็นโปรโตคอล Defi และพวกเราหลายๆ คนยังใช้โปรโตคอล Defi เมื่อโต้ตอบบนเครือข่ายด้วย

เมื่อเราโต้ตอบกับโปรโตคอล Defi เหล่านี้หรือโปรโตคอลอื่นๆ มีหลักการรักษาความปลอดภัยใดๆ ที่เราต้องปฏิบัติตามหรือไม่? ฉันเชื่อว่าผู้ใช้ทั่วไปส่วนใหญ่ไม่มีความสามารถในการอ่านโค้ดและอาจไม่สามารถอ่านข้อมูลที่ลงนามได้ด้วยซ้ำ ในกรณีนี้เราจะลดความเสี่ยงดังกล่าวได้อย่างไร?

Zhou Yajin: ผมคิดว่าถ้าผู้ใช้ทั่วไปต้องการทำธุรกรรมบนเครือข่าย พวกเขาต้องทำการตรวจสอบประวัติของฝ่ายโครงการเสียก่อน ฉันคิดว่าสิ่งนี้ค่อนข้างสำคัญ หากคุณลงทุนในโครงการแบบลูกโซ่ด้วยทุนจำนวนเล็กน้อยและต้องการลองดูก็อาจจะโอเค แต่ถ้าคุณจริงจังมากและบอกว่าคุณเป็นนักลงทุนที่ต้องการลงทุนในโปรโตคอลแบบออนเชน เนื่องจากปริมาณเงินทุนของคุณค่อนข้างมาก คุณอาจจำเป็นต้องทำการตรวจสอบความครบถ้วนของข้อมูลในโครงการให้ดียิ่งขึ้น ความขยันหมั่นเพียรที่นี่สามารถแบ่งออกได้เป็นระดับต่อไปนี้

ระดับแรกคือการบอกว่าใครเป็นผู้ก่อตั้งโครงการนี้ และเขาไม่เปิดเผยตัวตนหรือไม่ เนื่องจากโปรโตคอลบนเชนบางโปรโตคอลเป็นโครงการโปรโตคอลที่ไม่เปิดเผยตัวตน คุณต้องทราบคุณภาพของโปรโตคอล คุณต้องรู้ว่าผู้ก่อตั้งที่เป็นที่รู้จักสาธารณะคือใคร และเขามีประวัติในการทำให้โครงการมีความแข็งแกร่งหรือไม่ สิ่งนี้สำคัญมาก นั่นก็คือ คุณจะต้องทำการตรวจสอบประวัติของข้อตกลงและตัวตนของผู้ก่อตั้งเสียก่อน

ประเด็นที่สองก็คือ คุณต้องทำการตรวจสอบข้อมูลเบื้องต้นเกี่ยวกับความสามารถทางเทคนิคของฝ่ายโครงการเสียก่อน คุณสามารถตรวจสอบว่าโครงการนั้นได้รับการตรวจสอบโดยบริษัทรักษาความปลอดภัยชั้นนำหรือไม่ ตามที่คุณเพิ่งกล่าวไป ผู้ใช้หลายรายอาจไม่เข้าใจเทคโนโลยี โค้ด และไม่สามารถเข้าใจรายงานการตรวจสอบ แต่คุณสามารถดึงรายงานการตรวจสอบลงมาและเพียงตรวจสอบประเด็นสำคัญบางประการได้ ตัวอย่างเช่น บริษัทใดที่ดำเนินการตรวจสอบ บริษัทเหล่านี้มีชื่อเสียงอย่างไร และมีช่องโหว่ด้านความปลอดภัยหลักๆ ในรายงานหรือไม่ การค้นพบช่องโหว่ด้านความปลอดภัยหลักในรายงานไม่ได้หมายความว่าโปรโตคอลนั้นไม่ปลอดภัยเสมอไป แต่หมายความว่าบริษัทรักษาความปลอดภัยอาจจะขยันมากขึ้นและค้นพบช่องโหว่ด้านความปลอดภัยบางประการ ซึ่งจะช่วยลดความเสี่ยงด้านความปลอดภัยโดยรวมของโครงการได้ เราจะต้องมองเรื่องนี้แบบวิภาษวิธี หลังจากที่คุณทำการตรวจสอบประวัติของฝ่ายโครงการแล้ว คุณควรใช้แนวทางค่อยเป็นค่อยไปเมื่อโต้ตอบกับพวกเขา อย่าลงทุนเงินเป็นจำนวนมากในครั้งเดียว เพราะยังถือเป็นความเสี่ยงที่ค่อนข้างสูง

อีกสิ่งหนึ่งคือคุณจำเป็นต้องใช้เครื่องมือรักษาความปลอดภัยระดับมืออาชีพ เช่น เครื่องมือตรวจสอบการโจมตี เครื่องมือและแพลตฟอร์มบางอย่าง หากคุณมีเงินทุนจำนวนมาก คุณจะต้องตระหนักถึงความเสี่ยงด้านความปลอดภัยของโปรโตคอลที่คุณลงทุนอยู่เสมอ คุณสามารถตรวจสอบความปลอดภัยโดยรวมของโปรโตคอลที่คุณลงทุนได้ผ่านแพลตฟอร์มต่างๆ เช่น แพลตฟอร์ม Phalcon ของเรา สำหรับผู้ใช้ที่มีทุนน้อยกว่า ฉันคิดว่าความเสี่ยงหลักที่ต้องป้องกันเมื่อทำธุรกรรมบนเครือข่ายคือการฟิชชิ่ง ท้ายที่สุดแล้ว ความน่าจะเป็นที่โปรโตคอลจะถูกโจมตีนั้นค่อนข้างต่ำ แต่ความเสี่ยงเช่นการฟิชชิ่งบนเครือข่ายและการอนุญาตเป็นสิ่งที่เกิดขึ้นได้ทุกเมื่อที่ผู้ใช้ทั่วไปอยู่บนเครือข่ายนั้น

เพื่อป้องกันความเสี่ยงเหล่านี้ คุณไม่ควรโลภมากจนเกินไป เพราะพายจะไม่หล่นจากท้องฟ้า เมื่อคุณโต้ตอบ พยายามยืนยันว่านี่คือเว็บไซต์อย่างเป็นทางการ และไม่ใช่เว็บไซต์เลียนแบบ ส่วนวิธีการยืนยันว่าเป็นเว็บไซต์ทางการอาจยังต้องมีการรวบรวมและจัดระเบียบข้อมูลในระดับหนึ่ง แน่นอนว่าคุณยังสามารถใช้เครื่องมือความปลอดภัยบางอย่างเพื่อระบุเว็บไซต์ฟิชชิ่งได้ ด้วยวิธีนี้สามารถหลีกเลี่ยงความเสี่ยงบางประการได้

อเล็กซ์: ฉันสังเกตเห็นเหตุการณ์หนึ่ง ไม่กี่วันก่อนหน้านี้ Binance ได้ลบโทเค็นของหลายโปรเจ็กต์ออกไป โดยอ้างว่าการดำเนินการที่พวกเขาสามารถทำได้ไม่ตรงตามมาตรฐาน ดังนั้น Binance จึงได้ลบโทเค็นเหล่านั้นออกไป จากนั้นฝ่ายโครงการได้แจ้งว่า เนื่องจากมีปัญหาต่างๆ มากมาย ทำให้โครงการจะไม่ดำเนินการอีกต่อไป และจะอยู่ในสถานะกึ่งร้างไป

จากนั้นลองสมมติว่าผู้ใช้รายนี้เคยใช้โปรโตคอล DeFi เมื่อหนึ่งหรือสองปีก่อน ในปัจจุบันไม่มีใครเป็นผู้รับผิดชอบโปรโตคอลนี้ และไม่มีใครทราบว่าใครเป็นผู้มีอำนาจในการอัปเกรดโค้ดนี้ ในกรณีเฉพาะเช่นนี้ เนื่องจากสิทธิ์ในการอัปเกรดไม่ได้รับการจัดการอย่างถูกต้อง อาจถูกแฮกเกอร์หรือบุคคลที่มีเจตนาแอบแฝงเข้าถึงได้ หากการอนุญาตครั้งก่อนของคุณไม่ได้รับการยกเลิก เงินในกระเป๋าเงินของคุณจะได้รับผลกระทบตามมา

โจวหยาจิน: ใช่ มันก็เป็นไปได้เหมือนกัน โดยเฉพาะอย่างยิ่งตามที่คุณเพิ่งพูดไป หากผู้ใช้ให้การอนุญาตเงินของเขาแก่โปรโตคอลบางตัว และโปรโตคอลและสัญญาอัจฉริยะเหล่านี้อาจไม่ได้รับการดูแลอีกต่อไป ดังนั้น หากการอนุญาตนั้นไม่ถูกยกเลิก ก็อาจมีความเสี่ยงด้านความปลอดภัยเกิดขึ้นได้ ทางแก้ไขปัญหานี้ก็คือ เราขอแนะนำให้ผู้ใช้ทั่วไปตรวจสอบการอนุญาตของตนเป็นประจำ คุณสามารถเพิกถอนการอนุญาตที่คุณไม่ได้ใช้ได้

ผู้ใช้หลายรายอาจไม่ทราบว่าตนเองได้อนุญาตโครงการใดบ้าง เราได้พัฒนาเครื่องมือที่เรียกว่า Authorization Diagnostic Tool คุณป้อนที่อยู่และเราจะบอกคุณได้ว่าที่อยู่นี้ได้รับอนุญาตให้ใช้กับโปรโตคอลใด เราพบว่าผู้ใช้หลายรายอนุมัติโปรโตคอลหลายสิบรายการ ซึ่งหลายรายการไม่ได้ใช้งานอยู่ในปัจจุบัน โปรโตคอลที่ไม่ได้ใช้งานเหล่านี้และโปรโตคอลที่ไม่ได้รับการอัปเกรดความปลอดภัยอาจมีช่องโหว่ด้านความปลอดภัย ตราบใดที่ยังมีช่องโหว่ด้านความปลอดภัย ผู้อื่นก็สามารถโอนเงินของคุณผ่านช่องโหว่ในโปรโตคอลที่คุณอนุญาตได้ ซึ่งถือเป็นความเสี่ยงที่ยิ่งใหญ่เลยทีเดียว

อเล็กซ์: ฉันเข้าใจ. ฉันมีคำถามอีกข้อเกี่ยวกับความปลอดภัยในการโต้ตอบ ไม่ว่าจะเป็นโปรโตคอล DeFi บางส่วนที่ถูกโจมตีในอดีตหรือโปรโตคอลอื่นๆ เราพบว่าจำนวนการโจรกรรมและการโจมตีใน DEX นั้นไม่มากเท่ากับการให้ยืมหรือสเตคกิ้ง สิ่งนี้มีความเกี่ยวข้องกับประเภทสัญญาอัจฉริยะของโปรโตคอลทั้งสองประเภทนี้หรือไม่? หรือมีเหตุผลอื่นอีก?

โจวหย่าจิน: คุณพูดถูกต้องอย่างแน่นอน หากพูดกันตรงๆ ความเสี่ยงด้านความปลอดภัยของ DEX นั้นต่ำกว่าการให้กู้ยืม การทำฟาร์มผลตอบแทน และโปรโตคอลอนุพันธ์ทางการเงินอื่นๆ ประการแรก โปรโตคอลโดยรวมของ DEX ค่อนข้างเรียบง่าย และโปรโตคอลใน DEX บนเชนเป็นผลคูณคงที่ เช่น xy=k แน่นอนว่า Uniswap V3 มีความแตกต่างเล็กน้อย แต่แกนหลักคือสูตรผลิตภัณฑ์ที่คงที่ ประการแรก โปรโตคอลนั้นเรียบง่าย และประการที่สอง มีตัวอย่างอ้างอิงที่ดีมากแล้ว ซึ่งก็คือ Uniswap DEX หลายตัวแยกออกมาจาก Uniswap ดังนั้นคุณจึงต้องปรับเปลี่ยนเล็กน้อยเท่านั้นเพื่อใช้งาน DEX บนเชน ตำแหน่งความเสี่ยงด้านความปลอดภัยโดยรวมจะลดลง

อย่างไรก็ตาม สำหรับการกู้ยืม การทำฟาร์มผลตอบแทน หรือการกู้ยืมแบบมีการกู้ยืมแบบมีเลเวอเรจอื่น เช่นเดียวกับโปรโตคอลบางตัวที่มีฟังก์ชันที่ซับซ้อนกว่านั้น การออกแบบโปรโตคอลนั้นเองก็ค่อนข้างซับซ้อน ตัวอย่างเช่น หากเราสร้างแพลตฟอร์มการให้กู้ยืม โดยหลักการแล้วมันจะฟังดูเหมือนว่าฉันใส่สินทรัพย์ A เข้าไปและให้ยืมสินทรัพย์ B ตราบใดที่ฉันควบคุมความสมบูรณ์ของสินทรัพย์ทั้งหมดได้ ทุกอย่างก็จะโอเค ตัวอย่างเช่น ประเภทของสินทรัพย์ที่คุณต้องการสนับสนุนเป็นหลักประกัน ความผันผวนของราคาสินทรัพย์ และหากคุณต้องการสนับสนุนการกู้ยืม คุณจะมั่นใจได้อย่างไรว่าสุขภาพโดยรวมจะยังคงอยู่ แม้ว่าผู้ใช้จะชำระเงินคืนให้กับคุณก็ตาม ความซับซ้อนของโปรโตคอลนั้นค่อนข้างสูง ดังนั้น โอกาสที่โปรโตคอลเหล่านี้จะถูกโจมตีจึงมีมากขึ้น ฉันคิดว่านี่คือเหตุผลแรก

เหตุผลที่สองก็คือ DEX เองไม่ได้เก็บเงินไว้ แน่นอนว่าเงินใน DEX ได้รับการจัดเตรียมโดยผู้ให้บริการสภาพคล่อง ซึ่งหมายความว่าเงินที่คุณจัดเตรียมสภาพคล่องนั้นจะถูกวางไว้ในนั้น หากคุณใช้ DEX จริง คุณเพียงแค่สลับ ใส่โทเค็น A แล้วโทเค็น B จะกลับมาทันที ดังนั้นสินทรัพย์ของคุณจึงไม่อยู่ในกลุ่ม DEX แม้ว่าพูลของ DEX จะถูกโจมตี ผู้ใช้ส่วนใหญ่จะไม่สูญเสียเงิน แต่ผู้ที่ให้สภาพคล่องจะต้องสูญเสียเงิน แต่มันแตกต่างกันในแพลตฟอร์มการให้สินเชื่อและแพลตฟอร์มอื่นๆ ทรัพย์สินของคุณถูกวางไว้ที่นั่น และคุณมีหลักทรัพย์ค้ำประกันเกิน หากคุณมีโปรโตคอลอื่นที่ซับซ้อนกว่านี้ จะมีสินทรัพย์ของผู้ใช้จำนวนมากเก็บไว้ในนั้น หลังจากถูกโจมตี กลุ่มผู้ใช้ที่ได้รับความเสียหายจะมีจำนวนค่อนข้างมาก ฉันคิดว่านี่เป็นเหตุผลที่สอง

นอกจากนี้เรายังพบว่า DEX ก็ถูกโจมตีมาแล้วในอดีต เหตุผลที่ถูกโจมตีนั้นค่อนข้างง่าย ประการแรก ความเสี่ยงที่เกิดจาก DEX จริงๆ แล้วอยู่ที่การได้รับอนุญาต เมื่อคุณต้องการสลับ คุณจำเป็นต้องอนุญาตโทเค็นของคุณเองให้กับสัญญาการกำหนดเส้นทางของ DEX แม้ว่าสัญญาการกำหนดเส้นทางจะไม่ได้เก็บรักษาเงินไว้ แต่หากสัญญาการกำหนดเส้นทางมีช่องโหว่ในการดำเนินการตามอำเภอใจ ก็เป็นไปได้ที่เงินของผู้ใช้ทั้งหมดที่อนุญาต DEX จะถูกนำออกไป เราพบว่าช่องโหว่ DEX ที่ก่อให้เกิดความเสียหายมากที่สุดนั้นส่วนใหญ่เป็นช่องโหว่ประเภทนี้ แต่ช่องโหว่ประเภทนี้ตรวจพบได้ค่อนข้างง่าย ตราบใดที่ผู้ตรวจสอบมีคุณสมบัติเพียงพอ การตรวจจับก็ค่อนข้างง่าย

Alex: ดังนั้น ในกรณีของช่องโหว่การอนุญาตที่คุณเพิ่งกล่าวถึง หากบริษัทตรวจสอบบัญชีพบว่า DEX มีสิทธิ์การดำเนินการตามอำเภอใจเช่นนี้ โดยทั่วไปพวกเขาจะแจ้งให้ทราบว่าสิ่งนี้ไม่สมเหตุสมผล หรือเตือนทุกคนเกี่ยวกับเรื่องนี้เมื่อเปิดเผยรายงานหรือไม่

โจวหย่าจิน: ใช่ นี่ต้องเป็นช่องโหว่ และมันต้องไม่สมเหตุสมผล หากบริษัทรักษาความปลอดภัยทำการตรวจสอบเรื่องนี้ ก็จำเป็นต้องแก้ไข เนื่องจากถือเป็นช่องโหว่ที่ร้ายแรงมาก

สถานการณ์ปัจจุบันและศักยภาพของอุตสาหกรรมความปลอดภัยของบล็อคเชน

อเล็กซ์: โอเค เราเพิ่งพูดคุยกันมากเกี่ยวกับการโจมตีและการป้องกันด้านความปลอดภัย ตลอดจนปัญหาเฉพาะบางประเด็นเกี่ยวกับวิธีการปกป้องความปลอดภัยของทรัพย์สินส่วนบุคคล มาพูดถึงคำถามสุดท้ายของวันนี้กันบ้าง ซึ่งเป็นเรื่องเกี่ยวกับสถานการณ์ในอุตสาหกรรมความปลอดภัยของบล็อคเชน

ตามที่คุณกล่าวไว้ ในปี 21 และ 22 เนื่องจากมี DeFi จำนวนมาก อุตสาหกรรมความปลอดภัยของบล็อคเชนจึงมีลูกค้าจำนวนมาก แล้ว ณ ปีนี้ อุตสาหกรรมการรักษาความปลอดภัยมีขนาดเท่าใดในปัจจุบัน? สถานะการพัฒนา และระดับกำไรเป็นอย่างไรบ้าง?

Zhou Yajin: นี่เป็นคำถามที่ดีมาก เนื่องจากเราอยู่ในอุตสาหกรรมความปลอดภัยของบล็อคเชน คุณจึงต้องรู้ขั้นตอนปัจจุบันของอุตสาหกรรมอยู่เสมอ และรู้ว่าขีดจำกัดอยู่ที่ใด เพื่อจะพัฒนาบริษัทได้ดีขึ้น ในปัจจุบันไม่มีข้อมูลที่ได้รับการยอมรับเกี่ยวกับมูลค่าตลาดของอุตสาหกรรมการรักษาความปลอดภัยบล็อคเชนทั้งหมด อย่างไรก็ตาม มีรายงานออนไลน์บางส่วนหรือจากการประมาณการของพวกเขาเอง ซึ่งพวกเขาคิดว่าขนาดโดยรวมของอุตสาหกรรมความปลอดภัยของบล็อคเชนอยู่ที่ประมาณ 3 พันล้านดอลลาร์สหรัฐต่อปี ขนาดนี้ถือว่าค่อนข้างเล็กเมื่อเทียบกับอุตสาหกรรมความปลอดภัยทางไซเบอร์แบบดั้งเดิม ตัวอย่างเช่น ในปี 2024 ขนาดของความปลอดภัยทางไซเบอร์แบบดั้งเดิมควรอยู่ที่ประมาณ 100 พันล้านดอลลาร์สหรัฐ จริงๆ แล้ว มีช่องว่างระหว่างเงิน 1,000 เหรียญสหรัฐ กับ 3 พันล้านเหรียญสหรัฐ มาก

ฉันคิดว่าสิ่งนี้มีความเกี่ยวข้องกับสถานะการพัฒนาปัจจุบันของอุตสาหกรรมทั้งหมด เนื่องจากความปลอดภัยของบล็อคเชนเป็นผลิตภัณฑ์และบริการที่ปลอดภัยโดยพื้นฐานที่ให้บริการแก่ภาคอุตสาหกรรมบล็อคเชน อุตสาหกรรมบล็อคเชนโดยรวมยังอยู่ในช่วงเริ่มต้น ตัวอย่างเช่น ช่วงเวลาที่มีการพัฒนาค่อนข้างดีก่อนหน้านี้คือช่วง Defi Summer ซึ่งมีนวัตกรรมใหม่ๆ เกิดขึ้น

ในช่วงหนึ่งหรือสองปีที่ผ่านมา หลังจากกระแสนวัตกรรมทางการเงินที่ร้อนแรงใน Defi Summer ดูเหมือนว่าจะไม่มีสิ่งดีๆ หรือนวัตกรรมใหม่ๆ เกิดขึ้นเป็นพิเศษ ส่งผลให้ขนาดของอุตสาหกรรมบล็อคเชนทั้งหมดไปถึงระดับ TVL สูงสุดในปี 2022 ฉันจำได้ว่าระดับ TVL สูงสุดของความปลอดภัยของบล็อคเชนทั้งหมดในเวลานั้นควรอยู่ที่ 177 พันล้าน ซึ่งมากกว่า 100 พันล้านดอลลาร์สหรัฐ แต่ในวันนี้ ก่อนที่จะเข้าร่วมโครงการนี้ ฉันได้ดูข้อมูลเสียก่อน TVL ในปัจจุบันอยู่ที่ 99 พันล้าน ซึ่งหมายถึงมากกว่าครึ่งหนึ่งของจุดสูงสุดเล็กน้อย ผลที่ได้คือการพัฒนาอุตสาหกรรมบล็อคเชนของเราต้องพบกับปัญหาคอขวด

แต่ในขณะเดียวกัน เราก็ได้ค้นพบศักยภาพใหม่ ๆ ในอุตสาหกรรมนี้ด้วยเช่นกัน นั่นก็คือ สถาบันการเงินแบบดั้งเดิมกำลังค่อยๆ ก้าวเข้ามาในอุตสาหกรรมนี้ มีสัญญาณบางอย่างที่บ่งชี้ว่าสถาบันการเงินแบบดั้งเดิมกำลังเข้ามาในอุตสาหกรรมนี้ ตัวอย่างเช่น ธนาคารดั้งเดิมกำลังออก Stablecoin บนเครือข่าย และเป็นไปตามกฎระเบียบ ผู้ให้บริการชำระเงินแบบดั้งเดิมเช่น Stripe รองรับการชำระเงินด้วย Crypto การชำระเงินข้ามพรมแดนบางรายการใช้ Crypto เพื่อแก้ไขปัญหาการชำระเงินที่อีคอมเมิร์ซข้ามพรมแดนแบบดั้งเดิมเผชิญอยู่

ดังนั้นเราจะพบว่าแม้จะไม่มีนวัตกรรมใหม่ใดเหมือนกับ DeFi Summer ในปี 2021 และ 2022 ที่ได้กระตุ้นให้ TVL สูงขึ้นใหม่ แต่สถาบันการเงินแบบดั้งเดิมและผู้ค้าที่มีความต้องการในชีวิตจริงกำลังเข้ามาในอุตสาหกรรมนี้ และหลังจากที่พวกเขาเข้ามาแล้ว พวกเขาจะนำการปฏิบัติตามมาสู่ทั้งอุตสาหกรรม หากอุตสาหกรรมต้องการเติบโตมากขึ้นก็จะต้องพัฒนาให้สอดคล้องกับกรอบและระบบการกำกับดูแล ฉันคิดว่านี่คือโอกาสที่เราจะมองเห็นได้ในช่วงหนึ่งหรือสองปีที่ผ่านมา โดยทั่วไปแล้ว ขนาดอุตสาหกรรมโดยรวมของการรักษาความปลอดภัยของบล็อคเชนยังค่อนข้างเล็กและยังอยู่ในช่วงเริ่มต้น อย่างไรก็ตาม ด้วยการเข้ามาของสถาบันการเงินแบบดั้งเดิม และการกำกับดูแลและปฏิบัติตามมากขึ้น ฉันคิดว่าศักยภาพในการระเบิดในพื้นที่นี้ยังคงค่อนข้างใหญ่ นี่เป็นการสังเกตของฉันเอง

คูน้ำของบริษัทรักษาความปลอดภัยชั้นนำ

อเล็กซ์: โอเค ฉันมีความประทับใจอย่างยิ่งว่าในปี 2021 และ 2022 ดูเหมือนว่าบริษัทด้านความปลอดภัยของบล็อคเชน โดยเฉพาะบริษัทที่ทำการตรวจสอบสัญญาอัจฉริยะ จะทำกำไรได้มาก แม้แต่บริษัทรักษาความปลอดภัยชื่อดังบางแห่งก็อาจรู้สึกว่าเป็นสิทธิพิเศษสำหรับคุณ หากพวกเขาให้คุณแซงคิวและจัดการตรวจสอบได้รวดเร็วยิ่งขึ้น คุณคิดว่าคูน้ำหลักของบริษัทรักษาความปลอดภัยชั้นนำคืออะไร?

โจวหย่าจิน: ผมคิดว่าอาจมีหลายประเด็น ประเด็นแรกคือเกี่ยวกับแบรนด์และความไว้วางใจ โดยเฉพาะการตรวจสอบความปลอดภัย ถือเป็นบริการที่จำเป็นต้องมีการตระหนักรู้ถึงแบรนด์ที่แข็งแกร่งอย่างมาก คุณเพิ่งพูดถึงว่าเมื่อก่อนตลาดยังดีกว่านี้ การตรวจสอบบัญชีเป็นที่นิยมมาก และอาจต้องใช้เวลาในการรอเป็นเวลานาน ในความเป็นจริง กรณีนี้ก็ยังคงเกิดขึ้นกับบริษัทตรวจสอบความปลอดภัยชั้นนำในปัจจุบัน ไม่ใช่ว่าเมื่อฝ่ายโครงการมาตรวจสอบ ทรัพยากรบุคคลจะพร้อมให้ความช่วยเหลือทันที บริษัทรักษาความปลอดภัยชั้นนำที่มีผลกระทบต่อแบรนด์ยังคงอยู่ในภาวะที่มีอุปทานเกินความต้องการ ฉันจึงคิดว่าคูน้ำคือแบรนด์และความไว้วางใจ การสร้างภาพลักษณ์แบรนด์ที่ดีขึ้นในอุตสาหกรรมความปลอดภัยของบล็อคเชนและความไว้วางใจเบื้องหลังแบรนด์ ไม่ว่าความไว้วางใจจะมาจากผู้ใช้ ฝ่ายโครงการ หรือผู้เข้าร่วมอื่นๆ ถือเป็นสิ่งที่สำคัญมาก

ประเด็นที่สองคือความจำเป็นในการมีเทคโนโลยีนวัตกรรมที่ปลอดภัย นอกเหนือจากการแก้ไขปัญหาด้านความปลอดภัยของบล็อคเชนและการดำเนินการตรวจสอบความปลอดภัยแล้ว เราไม่มีวิธีแก้ปัญหาอื่น ๆ ที่ต้องเสริมอีกหรือไม่? การตรวจสอบความปลอดภัยสามารถแก้ไขปัญหาการดำเนินการตรวจสอบความปลอดภัยได้ก่อนที่สัญญาอัจฉริยะของโครงการจะถูกนำไปใช้งานบนเครือข่ายเท่านั้น อย่างไรก็ตาม หลังจากที่โครงการเปิดตัวจริงแล้ว ฝ่ายโครงการอาจเปลี่ยนแปลงพารามิเตอร์ และอาจมีการกำหนดค่ารายวัน การอัปเกรดรายวันไม่ได้รับการตรวจสอบเนื่องจากการเข้าคิวหรือการพิจารณาต้นทุน นั่นคือมีปัญหาความปลอดภัยมากมายที่เกิดขึ้นจากหลายสาเหตุหลังจากที่สัญญาอัจฉริยะถูกใช้งานแล้ว เราไม่สามารถพึ่งการตรวจสอบความปลอดภัยเพียงอย่างเดียวเพื่อแก้ไขปัญหาดังกล่าวได้ เราจำเป็นต้องมีเทคโนโลยีและผลิตภัณฑ์ด้านความปลอดภัยเชิงนวัตกรรมเพื่อแก้ไขปัญหาเหล่านี้ นี่คือสิ่งที่ฉันคิดว่าแตกต่างกันมากระหว่าง BlockSec และงานด้านความปลอดภัยของบล็อคเชนอื่น ๆ นอกเหนือจากบริการตรวจสอบความปลอดภัยสำหรับการรักษาความปลอดภัยของสัญญาอัจฉริยะก่อนที่โปรโตคอลจะออนไลน์แล้ว เรายังมีแพลตฟอร์มที่ครอบคลุมการตรวจสอบและการบล็อกการโจมตีหลังจากสัญญาอัจฉริยะออนไลน์อีกด้วย นี่เป็นบริษัทรักษาความปลอดภัยบล็อคเชนเพียงแห่งเดียวในโลกที่มีทั้งการตรวจสอบอัจฉริยะและการติดตามการโจมตี และสามารถครอบคลุมวงจรชีวิตทั้งหมดของสัญญาอัจฉริยะได้ สิ่งนี้สำคัญมาก คุณต้องมีเทคโนโลยีและผลิตภัณฑ์ที่ปลอดภัยและมีนวัตกรรมที่สามารถช่วยให้ผู้ใช้แก้ไขปัญหาในตลาดนี้ได้อย่างแท้จริง

ประเด็นที่สามคือ การปฏิบัติตาม กฎระเบียบ และอิทธิพลทางภูมิรัฐศาสตร์ ในที่สุดอุตสาหกรรม Crypto จะต้องปฏิบัติตามและได้รับการควบคุมเพื่อให้มีโอกาสในการพัฒนาในขนาดใหญ่ ไม่ใช่ทุกคนที่เห็นด้วยกับมุมมองนี้ แต่เราอยู่ในอุตสาหกรรมนี้มานานหลายปี และเราเห็นได้ว่าอุตสาหกรรมนี้จะพัฒนาได้ก็ต่อเมื่ออยู่ภายใต้ดวงอาทิตย์และระบบการปฏิบัติตามและกฎเกณฑ์เพื่อดึงดูดเงินแบบดั้งเดิมเข้ามาในอุตสาหกรรมนี้ ภายใต้สถานการณ์เช่นนี้ ให้เตรียมผลิตภัณฑ์และบริการที่สอดคล้องและเป็นไปตามกฎข้อบังคับไว้ล่วงหน้า บริการด้านการปฏิบัติตามกฎระเบียบและผลิตภัณฑ์ด้านกฎระเบียบต้องใช้ความเข้าใจอย่างลึกซึ้งเกี่ยวกับนโยบายด้านกฎระเบียบและข้อกำหนดการปฏิบัติตามกฎระเบียบของอุตสาหกรรม และสามารถนำไปพัฒนาเป็นผลิตภัณฑ์ได้ อิทธิพลทางภูมิรัฐศาสตร์อีกประการหนึ่งที่เรียกว่า เมื่อภูมิภาคบางแห่งเลือกซัพพลายเออร์ พวกเขาจะคำนึงถึงข้อพิจารณาทางภูมิรัฐศาสตร์บางประการด้วย ตัวอย่างเช่น หน่วยงานกำกับดูแลในฮ่องกงอาจต้องการผลิตภัณฑ์จากซัพพลายเออร์ที่ไม่ใช่ชาวสหรัฐฯ ดังนั้นเมื่อคุณมีความเข้าใจอย่างลึกซึ้งเกี่ยวกับการปฏิบัติตามนโยบายการกำกับดูแล มีผลิตภัณฑ์ที่ดีกว่า และสามารถมีอิทธิพลทางภูมิรัฐศาสตร์ได้ด้วย ฉันคิดว่านี่คือคูน้ำของบริษัทรักษาความปลอดภัยของบล็อคเชน

อเล็กซ์: ฉันเข้าใจแล้ว วันนี้เราจะหารือเกี่ยวกับความปลอดภัยของการเข้ารหัสจากหลายๆ มุมมอง ตั้งแต่เหตุการณ์ด้านความปลอดภัยที่เฉพาะเจาะจง ไปจนถึงหลักการด้านความปลอดภัยบางประการที่ทุกคนจำเป็นต้องใส่ใจ ตลอดจนขอบเขตการพัฒนาของอุตสาหกรรมทั้งหมด ขอขอบคุณ Zhou Yajin มากที่มาร่วมงานแสดงของเราในวันนี้เพื่อแบ่งปันข้อมูลเชิงลึกเหล่านี้ ฉันหวังว่าเราจะมีโอกาสได้พูดคุยกันในหัวข้อที่เกี่ยวข้องเพิ่มเติมในอนาคต

โจว หยานจิน: ขอบคุณนะ อเล็กซ์

ลิงก์ต้นฉบับ