Dyrektor ds. bezpieczeństwa Casa, Jameson Lopp, wezwał posiadaczy Bitcoina, aby po serii incydentów związanych z bezpieczeństwem portfeli kryptowalutowych nie porzucali samodzielnego przechowywania na rzecz ETF-ów i zewnętrznych powierników.
Podsumowanie
- Jameson Lopp wezwał posiadaczy Bitcoina, aby mimo wszystko nie porzucali samodzielnego przechowywania.
- Lopp ostrzegł, że ETF-y na Bitcoina i zewnętrzni powiernicy nie eliminują ryzyka bezpieczeństwa, lecz pozostawiają inwestorów zależnymi od instytucji w zakresie ochrony ich aktywów.
- Ostatnie incydenty wzbudziły wątpliwości co do bezpieczeństwa samodzielnego zarządzania Bitcoinem.
- Lopp zalecił portfele multisig oraz rozproszenie kluczy prywatnych w różnych lokalizacjach i u różnych dostawców sprzętu, aby zmniejszyć ryzyko utraty środków.
- Posiadaczom Bitcoina zaleca się przegląd swoich rozwiązań w zakresie bezpieczeństwa i przygotowanie się na sytuacje, w których mogą już nie mieć dostępu do swoich środków.
W liście otwartym z 22 października skierowanym do klientów Casa i społeczności Bitcoina Lopp argumentował, że ostatnie ataki wzbudziły uzasadnione obawy dotyczące zarządzania kluczami prywatnymi, ale nie uzasadniają rezygnacji z bezpośredniej kontroli nad posiadanymi Bitcoinami.
Lopp wskazał na niedawne incydenty, w których hakerzy wykorzystywali AI do znajdowania luk w zabezpieczeniach, naruszone łańcuchy dostaw portfeli sprzętowych, opróżnione portfele zimne i bardziej wyrafinowane oszustwa, co sprawiło, że wielu posiadaczy Bitcoina zaczęło się zastanawiać, czy mogą bezpiecznie zarządzać własnymi środkami.
Według niego wiele ataków, które trafiają dziś na nagłówki, było już znanych specjalistom ds. bezpieczeństwa, choć ich pojawienie się w rzeczywistych incydentach sprawiło, że zwykłym posiadaczom trudniej było ignorować ryzyko.
Lopp ostrzega, że ETF-y na Bitcoina nie eliminują ryzyka związanego z powiernictwem
Lopp szczególnie zakwestionował pogląd, że przeniesienie Bitcoina do funduszy giełdowych lub innych zarządzanych rozwiązań powierniczych oferuje proste rozwiązanie ostatnich problemów z bezpieczeństwem.
Przyznał, że inwestorzy mogą czuć się pewniej, polegając na instytucjach finansowych po usłyszeniu o naruszeniach portfeli, ale argumentował, że przekazanie kontroli nad kluczami prywatnymi jedynie przenosi odpowiedzialność na inną stronę.
Jego zdaniem ETF-y na Bitcoina zapewniają inwestorom ekspozycję na cenę kryptowaluty bez dawania im bezpośredniej kontroli nad bazowymi monetami.
Taka struktura wymaga, aby inwestorzy polegali na funduszu, jego powierniku i innych stronach odpowiedzialnych za ochronę aktywów. Lopp ostrzegł, że posiadacze mogą mieć niewielki wpływ na decyzje dotyczące ich Bitcoinów, w tym na sytuacje związane z zamrożeniem lub zajęciem przez władze.
Utrzymywał, że cechy definiujące Bitcoina wynikają z jego stałej podaży, publicznie weryfikowalnych zasad i możliwości uzyskania przez użytkowników dostępu do swoich aktywów bez uzyskiwania zgody pośrednika.
Chociaż inwestorzy mogliby odnieść korzyści finansowe z Bitcoina bez posiadania kluczy prywatnych, Lopp argumentował, że nie cieszyliby się takim samym stopniem kontroli, jaki daje bezpośrednia własność.
Ostrzeżenie pojawiło się po doniesieniach, że niektórzy posiadacze Bitcoina przenieśli aktywa na scentralizowane platformy po niedawnych naruszeniach portfeli.
W sierpniu crypto.news poinformował o rekordowych napływach do OKX po wykorzystaniu luki w portfelu sprzętowym Coldcard, a giełda stwierdziła, że klienci coraz częściej zwracają się ku zarządzanemu powiernictwu.
Niedawne wykorzystanie luk w portfelach Bitcoin wzbudziło obawy o bezpieczeństwo
Obawy przedstawione w liście Loppa pojawiły się po kilku incydentach związanych ze słabościami oprogramowania portfeli, dystrybucji sprzętu i generowania kluczy prywatnych.
Jednym z najpoważniejszych przypadków były portfele sprzętowe Coldcard, gdzie błąd konfiguracji firmware sięgający marca 2021 r. spowodował, że dotknięte urządzenia generowały ziarna odzyskiwania przy użyciu słabszego źródła losowości.
Raport z 3 sierpnia na temat luki w zabezpieczeniach Coldcard szczegółowo opisywał podejrzewane kradzieże Bitcoinów o wartości blisko 90 milionów dolarów w tamtym czasie oraz apele dyrektora ds. bezpieczeństwa Kraken, Nicka Percoco, o niezależne testowanie generowania seedów portfeli.
Luka pozwalała atakującym na odtworzenie podatnych kluczy prywatnych bez fizycznego dostępu do urządzeń ani uzyskania ich fraz odzyskiwania.
Coldcard następnie wydał poprawione oprogramowanie układowe, choć wcześniej wygenerowane podatne seedy wymagały od użytkowników utworzenia nowych portfeli i przeniesienia swoich aktywów.
Niedawniej, śledztwo z 13 października dotyczące skompromitowanych portfeli sprzętowych Ledger szczegółowo opisało przypadki dotyczące urządzeń dystrybuowanych przez południowoazjatyckiego sprzedawcę CryptoBilis.
Ledger potwierdził, że w jednym z dotkniętych urządzeń zidentyfikowano nieautoryzowany implant sprzętowy, podczas gdy śledztwo nie ustaliło, że jego własne systemy lub bezpośrednie kanały sprzedaży zostały skompromitowane.
Problemy z bezpieczeństwem związane ze słabymi seedami odzyskiwania dotknęły również inne sieci kryptowalutowe.
18 października Qubic ujawnił naruszenie bezpieczeństwa portfela obejmujące około 2,94 biliona tokenów QU o wartości 1,4 miliona dolarów skradzionych z 1404 portfeli.
Deweloperzy prześledzili incydent do niewystarczającej losowości w niektórych seedach odzyskiwania portfeli, a następnie poprawili dotknięte oprogramowanie.
Bezpieczeństwo multisig pozostaje kluczowe
Na tym tle Lopp argumentował, że odpowiedź na nieudane mechanizmy kontroli bezpieczeństwa powinna polegać na ulepszaniu ochrony portfeli, a nie na całkowitym porzucaniu samodzielnego przechowywania.
Opierając się na ponad 15 latach incydentów bezpieczeństwa w całej branży kryptowalutowej, stwierdził, że skuteczne rozwiązania w zakresie przechowywania muszą uwzględniać ludzkie błędy oraz możliwość, że poszczególne zabezpieczenia mogą zawieść.
Jego preferowane podejście obejmowało portfele multisignature, które rozdzielają autoryzację transakcji na wiele kluczy prywatnych i mogą zapobiec temu, by pojedynczy skompromitowany klucz zapewniał pełny dostęp do środków.
Lopp ostrzegał, że multisig sam w sobie nie jest kompletnym rozwiązaniem, choć utrzymywał, że starannie zaprojektowane rozwiązania mogą zapewnić silniejszą ochronę niż konwencjonalne systemy przechowywania.
Zachęcał posiadaczy Bitcoinów do przeglądu istniejących konfiguracji i rozdzielenia kluczy między różne lokalizacje geograficzne i łańcuchy dostaw sprzętu, aby zmniejszyć zależność od jakiegokolwiek pojedynczego urządzenia lub lokalizacji.
List poruszał planowanie dziedziczenia jako kolejną ważną kwestię, w szczególności to, co stałoby się z czyimiś Bitcoinami, gdyby dana osoba stała się niezdolna do uzyskania dostępu do swoich aktywów lub zarządzania nimi.
Casa, która świadczy usługi wspomaganego samodzielnego przechowywania, określa swoją rolę jako pomoc klientom w zarządzaniu tymi rozwiązaniami bez przejmowania posiadania ich kluczy prywatnych.
Lopp zakończył ostrzeżeniem, że zarówno złośliwi aktorzy, jak i dobrze intencjonowani pośrednicy mogą ostatecznie przejąć kontrolę nad czyimiś Bitcoinami, pozostawiając posiadaczom decyzję, ile kontroli są gotowi oddać.
