Эта статья была составлена и организована BlockWeeks
На этой неделе две основные темы — криптобезопасность и регулирование — одновременно накалились: с одной стороны, в цепочку поставок Ledgerаппаратного кошелька был внедрён вредоносный аппаратный модуль, что привело к массовой краже активов на сумму около 91 миллиона долларов; с другой стороны, Управление контролёра денежного обращения США (OCC) опубликовало отчёт, подтверждающий, что банковская система под предлогом «репутационного риска» осуществляла дебанкинг законных клиентов, что обеспечило официальное частичное подтверждение давних обвинений криптоиндустрии.
Атака на цепочку поставок Ledger: не взлом приватных ключей, а считывание сид-фраз
Ledger расследует кражу, связанную с суммой около 91 миллиона долларов. Пострадавшие пользователи приобретали аппаратные кошельки через юго-восточноазиатского дистрибьютора CryptoBilis, и Ledger подтвердил, что как минимум одно проданное устройство было оснащено аппаратным модулем, способным считывать сид-фразу с экрана. CryptoBilis ранее был указан на официальном сайте Ledger как авторизованный дистрибьютор для Индонезии, Малайзии и Филиппин.
9 октября Ledger потребовал от дистрибьютора приостановить все продажи и отгрузки и уведомить пользователей, приобретших устройства за последние 90 дней, не настраивать свои устройства; если они уже настроены, им следует немедленно перевести средства на новое устройство и использовать новую сгенерированную сид-фразу. На следующий день Ledger подтвердил, что «устройство одного пострадавшего пользователя содержало несанкционированный аппаратный имплант». К вторнику Ledger дополнительно объяснил принцип работы: внутри корпуса устройства находится независимый компонент, который считывает экран во время настройки, захватывает сид-фразу из 24 слов и затем отправляет её наружу через сеть LTE посредством предустановленной eSIM. Модуль не затрагивает Secure Element или операционную систему Ledger, поэтому подделанные устройства по-прежнему могут пройти проверку подлинности Genuine Check от Ledger.
Независимые разборки устройств показали, что имплант прошёл как минимум три поколения, причём последняя версия представляет собой профессионально изготовленную гибкую схему, скрытую под дисплеем. Ledger заявил, что его собственные системы и каналы прямых продаж не были скомпрометированы, что число пострадавших «ограничено» и что все подтверждённые на данный момент случаи связаны с устройствами, проданными через CryptoBilis. Дистрибьютор приостановил все продажи оборудования.
Ончейн-потоки средств: 474 адреса, 88% стоимости выведено в течение одного часа
На блокчейне это выглядит не как разрозненные жертвы, у каждой из которых отдельно украли средства, а скорее как массовый сбор урожая. Статистика показывает, что около 91 миллиона долларов вытекло с 474 адресов жертв, охватывая Bitcoin, Ethereum, Arbitrum, Polygon и TRON: около 64,5 миллиона долларов в USDT и TRX поступили со 146 адресов TRON; 213 BTC (около 17,6 миллиона долларов) поступили с 279 биткоин-адресов; и ещё 8,8 миллиона долларов в ETH и стейблкоинах поступили с 49 адресов типа Ethereum. Если учесть BNB Chain, который ещё не включён в статистику, отслеживающие фирмы приводят несколько более высокие цифры — от 93 до 95 миллионов долларов; вышеупомянутые 91 миллион долларов являются нижней границей.
Вывод средств с биткоин-адресов начался 7 октября, но 88% стоимости — около 80 миллионов долларов — было переведено концентрированно в течение одного часа начиная с 05:00 UTC 9 октября, как раз утром того дня, когда Ledger впервые опубликовал своё заявление. Почти все биткоин-адреса жертв ранее никогда не совершали трат, относясь к холодному хранению, и большинство средств было внесено за последние 90 дней; некоторые адреса можно проследить до 2021 года, что согласуется с восстановлением старых сид-фраз на подделанных устройствах.
По состоянию на 15 октября около 56,6 миллиона долларов остаётся на адресах, контролируемых злоумышленниками: около 208 BTC остаются нетронутыми на агрегационных биткоин-адресах; около 12 800 ETH (многие из которых были переведены через мост из TRON) и 7,5 миллиона USDT остаются на транзитных счетах TRON, созданных утром в день кражи. Около 5 400 ETH (13,5 миллиона долларов) прошли через Tornado Cash, около 2 миллионов долларов, по-видимому, достигли депозитных адресов бирж, и Tether заморозил 10 миллионов USDT, связанных с этим делом. Как минимум одна жертва обратилась к ворам ончейн, заявив, что определённая доля может быть передана, если оставшиеся активы будут возвращены.
Настоящий риск не в эллиптических кривых, а в цепочках поставок и экономике атак эпохи ИИ
Анализ двухнедельной давности указал на то, что сегодня мало кто напрямую атакует саму математику закрытого ключа; вместо этого атакующие нападают на звено, которое «говорит математике, что делать». Случай кражи у дистрибьютора Ledger — это физическая копия этой логики. Secure Element выполнил свою работу; сид-фразу просто считали с экрана чипом, которого никогда не должно было существовать.
В эпоху ИИ меняется способ раскрытия уязвимостей кибербезопасности. Недавние исследования обсуждали, сможет ли ИИ в конечном итоге взломать ECDSA, но неминуемая угроза — не математический прорыв. Ни один из убытков этого квартала не требовал математического прорыва: дефект сборки прошивки Coldcard, уязвимость кэша валидации Liquid, скомпрометированный сторонний продукт безопасности Bitget, а теперь гибкая схема и eSIM. Ни один из этих инцидентов не был приписан инструментам ИИ, и не должен был быть. Но ИИ меняет экономику всего, что окружает закрытые ключи.
Передовые модели уже способны находить реальные уязвимости в широко используемом коде, а окно от раскрытия уязвимости до её эксплуатации схлопывается. Hacken отнёс 77% убытков третьего квартала к инструментам поставщиков и разработчиков, раскрытым, но неразвёрнутым исправлениям и инфраструктуре вне области аудита. Те же инструменты позволяют масштабировать атакующие операции с низкими затратами: правдоподобно выглядящая витрина, отзывчивая «служба поддержки» и бэкенд, который архивирует сотни сид-фраз и ждёт поступления депозитов. Для любого, кто создаёт или хранит активы в этой отрасли, это означает, что нужно исходить из того, что каждая зависимость и каждое звено цепочки поставок непрерывно зондируются неутомимыми противниками, и, прежде чем это сделают противники, применить ту же автоматизацию к проверке собственного кода, прошивки и поставщиков.
Уникальный риск цифровых предъявительских активов: нельзя конфисковать, но и нельзя вернуть
Вот как выглядят цифровые предъявительские активы, когда хранение даёт сбой. Свойство, которое делает Bitcoin невозможным для конфискации, делает его также невозможным для возврата. Нет эмитента, которого можно привлечь к ответственности, нет механизма возврата средств и нет судебного приказа, способного напрямую отменить перевод в сети. Окончательность активов — это преимущество, когда они в безопасности, и она становится необратимой потерей, когда их крадут.
Отчёт OCC: банки закрывали счета под предлогом «репутационного риска», криптоиндустрия получила частичное оправдание
Проверка OCC подтвердила, что банки опирались на политику «репутационного риска», не имеющую чётких измеримых стандартов, и использовали её для прекращения обслуживания из-за политических, религиозных и социальных взглядов клиентов. Среди случаев — платёжный процессор, принадлежащий JPMorgan, чей счёт был закрыт, потому что торговец продавал товары MAGA, и бизнес-линия Capital One, отклонившая политические группы обеих партий. Неформальные ограничения на отраслевом уровне в отношении огнестрельного оружия, угля, арктического бурения, частных тюрем, табака и цифровых активов сильнее всего ударили по малым и средним предприятиям, тогда как высокоприбыльные крупные клиенты часто получают исключения.
OCC также предупредил, что некоторые банки переименовывают репутационный риск в «франшизный риск» или «риск бренда», и что ни один банк публично не признал прошлые решения о закрытии счетов. Для криптоиндустрии это частичное оправдание: включение цифровых активов в список отраслевых ограничений при закрытии банками счетов показывает, что прежнее исключение не было чисто коммерческим суждением.
После финансового кризиса 2008 года банки стали глубже интегрированы в регуляторную систему правительства США. Закон Додда — Франка и более высокие требования к капиталу для глобальных системно значимых банков (GSIB) стали эффективным способом для правительства регулировать более широкую финансовую систему. Отношения между банками и регуляторами также соответственно изменились: в нарративе лагеря Элизабет Уоррен банки когда-то были врагом «Мейн-стрит», но теперь рассматриваются как ключевые узлы для обеспечения исполнения регулирования и реализации воли правительства.
Эта политизация не абстрактна во внутреннем принятии решений банками. Один торговый отдел пережил напряжённые недели после штурма Капитолия 6 января, когда руководители бизнес-подразделений обсуждали, продолжать ли предоставлять банковские услуги Дональду Трампу, причём ключевым вопросом был именно репутационный риск. Отчёт OCC равносилен признанию того, что такие расплывчатые стандарты могут использоваться для отбора по политическим, религиозным и социальным взглядам.
Но сам отчёт автоматически не обеспечивает защиты в будущем. OCC предупредил, что некоторые банки меняют ярлыки, и ни один банк публично не признал прошлые решения. Продолжат ли регуляторы правоприменение, примет ли Конгресс закон, и изменят ли банки стимулы — всё это определит, вернётся ли закрытие счетов в новой форме.
Для участников рынка инцидент с Ledger и отчёт OCC вместе указывают на одно и то же: безопасность и доступ — это не абстрактные лозунги. Первое требует включения цепочек поставок, прошивок, сторонних инструментов и отслеживания в блокчейне в ежедневный контроль рисков; второе напоминает отрасли, что регуляторное оправдание — лишь отправная точка, и за институциональную защиту по-прежнему нужно непрерывно бороться.
