Ten artykuł został skompilowany i zorganizowany przez BlockWeeks
W tym tygodniu dwa główne wątki — bezpieczeństwo kryptowalut i regulacje — rozgrzały się jednocześnie: z jednej strony, w łańcuch dostaw Ledgerportfela sprzętowego wszczepiono złośliwy sprzęt, co spowodowało masową kradzież aktywów o wartości około 91 milionów dolarów; z drugiej strony, amerykański Urząd Kontrolera Waluty (OCC) opublikował raport potwierdzający, że system bankowy pod nazwą „ryzyka reputacyjnego” dokonywał debankingu legalnych klientów, dostarczając oficjalnego częściowego potwierdzenia długoletnich zarzutów branży kryptowalutowej.
Atak na łańcuch dostaw Ledger: Nie łamanie kluczy prywatnych, lecz odczytywanie fraz seed
Ledger bada kradzież obejmującą około 91 milionów dolarów. Poszkodowani użytkownicy kupili portfele sprzętowe za pośrednictwem dystrybutora z Azji Południowo-Wschodniej CryptoBilis, a Ledger potwierdził, że co najmniej jedno sprzedane urządzenie miało wszczepiony moduł sprzętowy zdolny do odczytania frazy seed z ekranu. CryptoBilis był kiedyś wymieniony na oficjalnej stronie Ledger jako autoryzowany dystrybutor dla Indonezji, Malezji i Filipin.
9 października Ledger poprosił dystrybutora o wstrzymanie całej sprzedaży i wysyłek oraz o powiadomienie użytkowników, którzy kupili urządzenia w ciągu ostatnich 90 dni, aby nie konfigurowali swoich urządzeń; jeśli zostały już skonfigurowane, powinni natychmiast przenieść środki na nowe urządzenie i użyć nowo wygenerowanej frazy seed. Następnego dnia Ledger potwierdził, że „urządzenie jednego poszkodowanego użytkownika zawierało nieautoryzowany implant sprzętowy”. Do wtorku Ledger wyjaśnił dalej, jak to działa: wewnątrz obudowy urządzenia znajduje się niezależny komponent, który odczytuje ekran podczas konfiguracji, przechwytuje 24-wyrazową frazę seed, a następnie wysyła ją na zewnątrz przez sieć LTE za pośrednictwem wstępnie zainstalowanej eSIM. Moduł nie dotyka Secure Element ani systemu operacyjnego Ledger, więc zmodyfikowane urządzenia nadal mogą przejść Genuine Check firmy Ledger.
Niezależne demontaże wykazały, że implant przeszedł co najmniej trzy generacje, a najnowsza wersja to profesjonalnie wykonany elastyczny obwód ukryty pod wyświetlaczem. Ledger oświadczył, że jego własne systemy i bezpośrednie kanały sprzedaży nie zostały naruszone, że liczba poszkodowanych jest „ograniczona” i że wszystkie dotychczas potwierdzone przypadki dotyczą urządzeń sprzedanych przez CryptoBilis. Dystrybutor wstrzymał całą sprzedaż sprzętu.
Przepływy środków on-chain: 474 adresy, 88% wartości wymieciono w ciągu godziny
On-chain nie wygląda to na rozproszonych poszkodowanych okradanych indywidualnie, lecz bardziej na masowe żniwa. Statystyki pokazują, że około 91 milionów dolarów wypłynęło z 474 adresów poszkodowanych, obejmując Bitcoin, Ethereum, Arbitrum, Polygon i TRON: około 64,5 miliona dolarów w USDT i TRX pochodziło ze 146 adresów TRON; 213 BTC (około 17,6 miliona dolarów) pochodziło z 279 adresów Bitcoin; a kolejne 8,8 miliona dolarów w ETH i stablecoinach pochodziło z 49 adresów typu Ethereum. Jeśli uwzględni się BNB Chain, który nie został jeszcze objęty statystykami, firmy śledzące podają nieco wyższe liczby od 93 do 95 milionów dolarów; wspomniane 91 milionów dolarów to dolna granica.
Wymiatanie adresów Bitcoin rozpoczęło się 7 października, ale 88% wartości — około 80 milionów dolarów — zostało przeniesione w skoncentrowany sposób w ciągu godziny od 05:00 UTC 9 października, dokładnie rano w dniu, w którym Ledger po raz pierwszy wydał swoje oświadczenie. Prawie wszystkie adresy poszkodowanych Bitcoin nigdy wcześniej nie dokonywały wydatków, należąc do zimnego przechowywania, a większość środków została zdeponowana w ciągu ostatnich 90 dni; niektóre adresy można prześledzić do 2021 roku, co jest zgodne z przywracaniem starych fraz seed do zmodyfikowanych urządzeń.
Na dzień 15 października około 56,6 miliona dolarów pozostaje na adresach kontrolowanych przez atakujących: około 208 BTC pozostaje nietkniętych na adresach agregacyjnych Bitcoin; około 12 800 ETH (z czego wiele zostało przeniesionych przez most z TRON) i 7,5 miliona USDT pozostaje na tranzytowych kontach TRON utworzonych rankiem w dniu kradzieży. Około 5400 ETH (13,5 miliona dolarów) przeszło przez Tornado Cash, około 2 miliony dolarów najwyraźniej dotarło na adresy depozytowe giełd, a Tether zamroził 10 milionów dolarów w USDT związanych z tą sprawą. Co najmniej jeden poszkodowany zwrócił się on-chain do złodziei, stwierdzając, że można przyznać pewien udział, jeśli pozostałe aktywa zostaną zwrócone.
Prawdziwe ryzyko nie tkwi w krzywych eliptycznych, lecz w łańcuchach dostaw i ekonomice ataków ery AI
Analiza sprzed dwóch tygodni wskazała, że dziś niewiele osób atakuje bezpośrednio samą matematykę klucza prywatnego; atakujący uderzają raczej w ogniwo, które „mówi matematyce, co ma robić”. Przypadek kradzieży u dystrybutora Ledger jest fizycznym odwzorowaniem tej logiki. Secure Element wykonał swoje zadanie; fraza seed została po prostu odczytana z ekranu przez chip, który nigdy nie powinien był istnieć.
W erze AI zmienia się sposób ujawniania podatności w cyberbezpieczeństwie. Niedawne badania dyskutowały, czy AI ostatecznie złamie ECDSA, ale bezpośrednie zagrożenie nie jest przełomem matematycznym. Żadna z tegorocznych strat kwartalnych nie wymagała przełomu matematycznego: wada kompilacji firmware'u Coldcard, luka w pamięci podręcznej walidacji Liquid, skompromitowany produkt bezpieczeństwa firmy trzeciej Bitget, a teraz elastyczny obwód i eSIM. Żaden z tych incydentów nie został przypisany narzędziom AI i nie powinien być. Ale AI zmienia ekonomikę wszystkiego, co otacza klucze prywatne.
Modele frontier potrafią już znajdować rzeczywiste podatności w powszechnie używanym kodzie, a okno między ujawnieniem podatności a jej wykorzystaniem gwałtownie się skraca. Hacken przypisał 77% strat w trzecim kwartale narzędziom dostawców i deweloperów, ujawnionym, ale niewdrożonym poprawkom oraz infrastrukturze poza zakresem audytu. Te same narzędzia pozwalają też skalować operacje ataków po niskich kosztach: pozornie wiarygodny sklep, responsywna „obsługa klienta” i backend, który archiwizuje setki fraz seed i czeka na wpłaty. Dla każdego, kto buduje lub posiada aktywa w tej branży, oznacza to, że trzeba założyć, iż każda zależność i każde ogniwo łańcucha dostaw są nieustannie sondowane przez niestrudzonych przeciwników, i zanim zrobią to przeciwnicy, zastosować tę samą automatyzację do przeglądu własnego kodu, firmware'u i dostawców.
Unikalne ryzyko cyfrowych aktywów na okaziciela: nie można ich skonfiskować ani odzyskać
Tak wyglądają cyfrowe aktywa na okaziciela, gdy zawodzi przechowywanie. Właściwość, która czyni Bitcoina niemożliwym do skonfiskowania, czyni go również niemożliwym do odzyskania. Nie ma emitenta, którego można pociągnąć do odpowiedzialności, nie ma mechanizmu zwrotu ani nakazu sądowego, który mógłby bezpośrednio odwrócić transfer on-chain. Ostateczność aktywów jest zaletą, gdy są bezpieczne, i staje się nieodwracalną stratą, gdy zostaną skradzione.
Raport OCC: banki odcinały dostęp do usług pod pretekstem „ryzyka reputacyjnego”, branża krypto zyskuje częściowe potwierdzenie
Przegląd OCC potwierdził, że banki opierały się na politykach „ryzyka reputacyjnego” pozbawionych jasnych, mierzalnych standardów i wykorzystywały je do odcinania usług z powodu poglądów politycznych, religijnych i społecznych klientów. Przypadki obejmują procesora płatności należącego do JPMorgan, którego konto zamknięto, ponieważ pewien sprzedawca sprzedawał towary MAGA, oraz linię biznesową Capital One, która odrzucała grupy polityczne z obu partii. Nieformalne ograniczenia na poziomie branżowym dotyczące broni palnej, węgla, wierceń w Arktyce, prywatnych więzień, tytoniu i aktywów cyfrowych uderzyły najmocniej w małe i średnie przedsiębiorstwa, podczas gdy wysoce dochodowi duzi klienci często uzyskiwali wyjątki.
OCC ostrzegł również, że niektóre banki zmieniają nazwę ryzyka reputacyjnego na „ryzyko franczyzowe” lub „ryzyko marki”, oraz że żaden bank nie przyznał publicznie wcześniejszych decyzji o odcięciu dostępu do usług. Dla branży krypto jest to częściowe potwierdzenie: uwzględnienie aktywów cyfrowych na liście ograniczeń branżowych w odcinaniu dostępu do usług przez banki pokazuje, że wcześniejsze wykluczenie nie było wyłącznie osądem komercyjnym.
Od kryzysu finansowego z 2008 roku banki zostały głębiej włączone w system regulacyjny rządu USA. Ustawa Dodda-Franka i wyższe wymogi kapitałowe dla globalnych banków o znaczeniu systemowym (GSIB) stały się skutecznym sposobem regulowania przez rząd szerszego systemu finansowego. Relacje między bankami a regulatorami również się w związku z tym zmieniły: w narracji obozu Elizabeth Warren banki były kiedyś wrogiem „Main Street”, ale teraz są postrzegane jako kluczowe ogniwa zapewniające egzekwowanie regulacji i realizację woli rządu.
Ta polityzacja nie jest abstrakcyjna w wewnętrznym procesie decyzyjnym banków. Jeden z desków tradingowych przeżył napięte tygodnie po zamieszkach na Kapitolu 6 stycznia, gdy szefowie biznesu dyskutowali, czy nadal świadczyć usługi bankowe Donaldowi Trumpowi, a kluczową kwestią było właśnie ryzyko reputacyjne. Raport OCC jest równoznaczny z uznaniem, że takie niejasne standardy mogą być wykorzystywane do selekcji pod względem poglądów politycznych, religijnych i społecznych.
Sam raport nie zapewnia jednak automatycznie przyszłej ochrony. OCC ostrzegł, że niektóre banki zmieniają etykiety, a żaden bank nie przyznał publicznie wcześniejszych decyzji. To, czy regulatorzy będą kontynuować egzekwowanie, czy Kongres uchwali przepisy i czy banki zmienią zachęty, zdeterminuje, czy odcinanie dostępu do usług powróci w nowej formie.
Dla uczestników rynku incydent z Ledger i raport OCC wskazują wspólnie na to samo: bezpieczeństwo i dostęp nie są abstrakcyjnymi sloganami. Pierwsze wymaga włączenia łańcuchów dostaw, oprogramowania sprzętowego, narzędzi firm trzecich i śledzenia on-chain do codziennej kontroli ryzyka; drugie przypomina branży, że regulacyjne oczyszczenie z zarzutów jest jedynie punktem wyjścia, a o ochronę instytucjonalną nadal trzeba nieustannie walczyć.
