Главный специалист по безопасности Casa Джеймсон Лопп призвал держателей биткоина не отказываться от самостоятельного хранения в пользу ETF и сторонних кастодианов после серии инцидентов с безопасностью криптовалютных кошельков.
Краткое содержание
- Джеймсон Лопп призвал держателей биткоина не отказываться от самостоятельного хранения, несмотря ни на что.
- Лопп предупредил, что биткоин-ETF и сторонние кастодианы не устраняют риски безопасности, а оставляют инвесторов зависимыми от институтов в вопросах защиты их активов.
- Недавние инциденты вызвали вопросы о безопасности самостоятельного управления биткоином.
- Лопп рекомендовал мультиподписные кошельки и распределение приватных ключей по разным местам и аппаратным поставщикам для снижения риска потери средств.
- Держателям биткоина рекомендуется пересмотреть свои меры безопасности и подготовиться к ситуациям, когда они могут потерять доступ к своим средствам.
В открытом письме от 22 октября, адресованном клиентам Casa и сообществу биткоина, Лопп утверждал, что недавние атаки вызвали обоснованную обеспокоенность по поводу управления приватными ключами, но не оправдывают отказа от прямого контроля над биткоин-активами.
Лопп указал на недавние инциденты, в которых хакеры использовали ИИ для поиска уязвимостей безопасности, скомпрометированные цепочки поставок аппаратных кошельков, опустошённые холодные кошельки и более изощрённые мошеннические схемы, что заставило многих держателей биткоина задаться вопросом, могут ли они безопасно управлять своими средствами.
По его словам, многие из атак, попадающих сегодня в заголовки, уже были известны специалистам по безопасности, хотя их появление в реальных инцидентах сделало риски более трудными для игнорирования обычными держателями.
Лопп предупреждает, что биткоин-ETF не устраняют кастодиальные риски
Лопп особенно возражал против идеи о том, что перевод биткоина в биржевые инвестиционные фонды или другие управляемые кастодиальные схемы предлагает простое решение недавних проблем безопасности.
Он признал, что инвесторы могут чувствовать себя более комфортно, полагаясь на финансовые институты после новостей о компрометации кошельков, но утверждал, что передача контроля над приватными ключами лишь перекладывает ответственность на другую сторону.
По его мнению, биткоин-ETF предоставляют инвесторам доступ к ценовой динамике криптовалюты, не давая им прямого контроля над базовыми монетами.
Такая схема требует от инвесторов зависеть от фонда, его кастодиана и других сторон, ответственных за защиту активов. Лопп предупредил, что держатели могут иметь мало влияния на решения, затрагивающие их биткоины, включая ситуации с заморозкой или изъятием властями.
Он настаивал на том, что определяющие свойства биткоина проистекают из его фиксированного предложения, публично проверяемых правил и возможности пользователей получать доступ к своим активам без разрешения посредника.
Хотя инвесторы могут получить финансовую выгоду от биткоина, не владея приватными ключами, Лопп утверждал, что они не будут обладать той же степенью контроля, которая доступна при прямом владении.
Предупреждение последовало за сообщениями о том, что некоторые держатели биткоина перевели активы на централизованные платформы после недавних компрометаций кошельков.
В августе crypto.news сообщил о рекордных притоках на OKX после эксплуатации уязвимости аппаратного кошелька Coldcard, при этом биржа заявила, что клиенты всё чаще обращаются к управляемому кастодиальному хранению.
Недавние эксплойты биткоин-кошельков вызвали обеспокоенность по поводу безопасности
Опасения, изложенные в письме Лоппа, последовали за несколькими инцидентами, связанными со слабыми местами в программном обеспечении кошельков, распространении аппаратных средств и генерации приватных ключей.
Один из наиболее значительных случаев касался аппаратных кошельков Coldcard, где ошибка конфигурации прошивки, датируемая мартом 2021 года, привела к тому, что затронутые устройства генерировали восстановительные seed-фразы с использованием более слабого источника случайности.
В отчете от 3 августа об эксплойте безопасности Coldcard подробно описывались предполагаемые кражи биткоинов на сумму около 90 миллионов долларов на тот момент, а также призывы главного директора по безопасности Kraken Ника Перкоко к независимому тестированию генерации кошельковых сид-фраз.
Уязвимость позволяла злоумышленникам восстанавливать уязвимые приватные ключи без физического доступа к устройствам или получения их фраз восстановления.
Впоследствии Coldcard выпустила исправленную прошивку, хотя ранее сгенерированные уязвимые сид-фразы требовали от пользователей создания новых кошельков и перевода своих средств.
Совсем недавно, в расследовании от 13 октября о скомпрометированных аппаратных кошельках Ledger, были подробно описаны случаи с устройствами, распространявшимися через юго-восточноазиатского реселлера CryptoBilis.
Ledger подтвердила, что в одном из затронутых устройств была обнаружена несанкционированная аппаратная вставка, тогда как расследование не установило, что ее собственные системы или прямые каналы продаж были скомпрометированы.
Проблемы безопасности, связанные со слабыми сид-фразами восстановления, затронули и другие криптовалютные сети.
18 октября Qubic раскрыла нарушение безопасности кошелька, в результате которого было украдено около 2,94 триллиона токенов QU стоимостью 1,4 миллиона долларов из 1404 кошельков.
Разработчики проследили инцидент до недостаточной случайности в некоторых сид-фразах восстановления кошельков и впоследствии исправили затронутое программное обеспечение.
Безопасность мультиподписи остается ключевой
На этом фоне Лопп утверждал, что ответом на неудачные меры безопасности должно быть улучшение защиты кошельков, а не полный отказ от самостоятельного хранения.
Опираясь на более чем 15-летний опыт инцидентов безопасности в криптовалютной индустрии, он заявил, что эффективные схемы хранения должны учитывать человеческие ошибки и возможность отказа отдельных мер защиты.
Его предпочтительный подход предполагал использование кошельков с мультиподписью, которые распределяют авторизацию транзакций между несколькими приватными ключами и могут предотвратить получение полного доступа к средствам при компрометации одного ключа.
Лопп предупредил, что мультиподпись сама по себе не является полным решением, хотя и настаивал на том, что тщательно продуманные схемы могут обеспечить более надежную защиту, чем традиционные системы хранения.
Он призвал держателей биткоинов пересмотреть свои существующие конфигурации и распределить ключи по разным географическим локациям и цепочкам поставок оборудования, чтобы снизить зависимость от какого-либо одного устройства или места.
В письме также рассматривалось планирование наследования как еще один важный аспект, в частности, что произойдет с биткоинами человека, если он станет неспособен получить доступ к своим средствам или управлять ими.
Casa, предоставляющая услуги assisted self custody, позиционирует свою роль как помощь клиентам в управлении такими схемами без получения владения их приватными ключами.
В заключение Лопп предупредил, что как злоумышленники, так и добросовестные посредники в конечном итоге могут получить контроль над чужими биткоинами, оставляя держателям ответственность за решение о том, от какого объема контроля они готовы отказаться.
