Entretien DeFi et Web3 Security avec Ronghui Gu, co-fondateur de CertiK By CoinEdition

Entretien DeFi et Web3 Security avec Ronghui Gu, co-fondateur de CertiK

Le co-fondateur de CertiK, Ronghui Gu, discute de la sécurité Web3 dans l’espace DeFi, entre autres, dans une interview exclusive avec CoinEdition. Gu est un professeur d’informatique à l’Université de Columbia qui dirige une équipe de plus de 250 personnes qui inspectent le code crypto à la recherche de bogues. CertiK est le plus grand auditeur de contrats intelligents du Web3.

Q : Comment CertiK a-t-il contribué à façonner l’industrie de la sécurité Web3 ces dernières années ?

Nous fournissons un ensemble de produits et d’outils pour aider les développeurs web3 à sécuriser leurs projets. Nous publions également des données de sécurité organisées pour accroître la transparence et la confiance de la communauté.

Q : Comment assurez-vous la sécurité des portefeuilles Web3 et quelles mesures prenez-vous pour vous protéger contre les menaces potentielles telles que les attaques de phishing ou les logiciels malveillants ?

Notre équipe d’experts en sécurité mène également des recherches proactives sur la sécurité Nous avons signalé cette vulnérabilité à l’équipe ZenGo et avons travaillé avec eux pour la corriger. Nos services complets de tests d’intrusion couvrent également les applications de portefeuille, de leurs interactions avec les contrats intelligents Web3 au backend Web 2.0.

Q : Quelles mesures prenez-vous pour atténuer le risque d’escroqueries au tapis et de sortie dans l’espace de la finance décentralisée (DeFi), et comment identifiez-vous les signes avant-coureurs de ces activités ?

Nous rendons publics les rapports d’audit afin que les utilisateurs puissent voir les risques qui peuvent ou non être impliqués dans un projet. Nous publions également du contenu éducatif pour sensibiliser aux caractéristiques communes de ces types d’escroqueries. Notre service KYC pour les équipes de projet aide également à protéger les utilisateurs contre la menace des tirages de tapis. Ils peuvent identifier les projets qui ont mérité un badge KYC en vérifiant leur équipe et en se tenant publiquement derrière leur plate-forme, rester à l’écart de ceux qui ne le font pas et être assurés qu’en cas d’escroquerie à la sortie, toute équipe qui a subi KYC sera rapidement renvoyé aux forces de l’ordre.

Q : Pouvez-vous discuter de l’importance des pratiques de codage sécurisé dans le développement d’applications web3 ?

Nous publions de nombreux contenus techniques et axés sur les développeurs, y compris une série sur les pratiques de codage sécurisé.

En général, les développeurs doivent être formés sur les vulnérabilités courantes du code et les pratiques de codage pour les éviter et effectuer des révisions de conception fréquentes pour détecter les problèmes au plus tôt. Ils doivent également utiliser une équipe de sécurité impartiale pour créer un modèle de menace autour de ce qui est développé pour améliorer la sécurité.

Q : Comment abordez-vous le défi d’assurer l’interopérabilité entre les chaînes tout en maintenant la sécurité de l’ensemble de l’écosystème Web3 ?

les ponts sont des cibles de grande valeur. Alors qu’il existe une forte demande pour ce type d’infrastructure, l’ingénierie sécurisée des ponts blockchain doit avoir le temps qu’il faut.

Nous avons une équipe dédiée qui est disponible 24 heures sur 24 pour aider à la réponse aux incidents pour tous les projets concernés.

Q : Pouvez-vous discuter des implications des problèmes de centralisation en matière de sécurité Web3 ?

La centralisation est à bien des égards antithétique au Web3. Dans certains cas, cependant, un certain degré de centralisation est nécessaire pour créer un produit fonctionnel. Tout ne peut pas être un contrat intelligent complètement autonome fonctionnant sur une blockchain décentralisée. Suivre cette ligne et donner la priorité à la décentralisation est le défi. La centralisation donne à certaines personnes des privilèges accrus, et il devrait toujours y avoir une bonne raison pour laquelle cela doit être le cas. Nous signalons tous les problèmes de centralisation dans nos rapports d’audit accessibles au public afin que les utilisateurs sachent dans quoi ils s’embarquent.

Q : Comment les gens peuvent-ils rester informés des dernières menaces et vulnérabilités de sécurité dans l’espace Web3 ?

@CertiK et @CertiKCommunity) est l’un des meilleurs moyens de rester à jour est un autre moyen. Vous pouvez trouver les ressources de notre blog et le classement Skynet sur notre site officiel.Q : Quel est votre point de vue sur le rôle des pratiques KYC dans le contexte de la sécurité Web3 ?

CertiK a développé un programme de badge KYC à la pointe de l’industrie pour les projets Web3 qui souhaitent soutenir publiquement leur projet et établir la confiance avec leur communauté. L’anonymat et le pseudo-anonymat ont une forte tradition dans la cryptographie, remontant à la création de Satoshi Nakamoto, mais la différence est que Satoshi ne construisait pas un produit explicitement financier, et ne sollicitait pas non plus d’investissement de la part de la communauté. De plus, le code de Bitcoin est entièrement open-source et le réseau est hautement décentralisé. Un fondateur de Web3 qui lance un projet doit prendre au sérieux la sécurité de ses investisseurs et être prêt à soutenir son projet. Tout fondateur qui ne souhaite pas se soumettre à sa propre vérification KYC (dont les détails sont toujours conservés en toute sécurité) doit avoir une bonne raison de le faire. En l’absence d’une base de code aussi transparente et d’une application aussi décentralisée que Bitcoin, un badge KYC contribue grandement à renforcer la confiance.

Q : Comment voyez-vous l’utilisation de l’IA dans le contexte de la sécurité Web3, et quels sont les avantages et les inconvénients potentiels de cette approche ?

c’est que les outils alimentés par l’IA sont souvent corrects dans leurs conclusions, mais trop souvent incorrects pour ne pas être fiables comme ils le sont actuellement. L’IA actuelle néglige également les défauts critiques. Les taux de faux positifs et de faux négatifs sont généralement élevés. Ils peuvent être utiles pour comprendre rapidement le code et effectuer une vérification rapide de l’intégrité, mais pas pour une analyse approfondie.

et bien qu’ils apprécieraient sûrement tout outil qui facilite leur travail Notre ensemble actuel d’outils automatisés se combine bien avec l’expertise de nos auditeurs pour fournir des audits rapides et complets à un prix extrêmement compétitif

Voir l’original sur CoinEdition