Головний директор з безпеки Casa Джеймсон Лопп закликав власників біткоїнів не відмовлятися від самостійного зберігання на користь ETF та сторонніх кастодіанів після низки інцидентів із безпекою криптовалютних гаманців.
Резюме
- Джеймсон Лопп закликав власників біткоїнів не відмовлятися від самостійного зберігання попри це.
- Лопп попередив, що біткоїн-ETF та сторонні кастодіани не усувають ризиків безпеки, а залишають інвесторів залежними від установ щодо захисту їхніх активів.
- Нещодавні інциденти викликали питання щодо безпеки самостійного управління біткоїном.
- Лопп рекомендував мультипідписні гаманці та розподіл приватних ключів між різними локаціями й постачальниками обладнання, щоб зменшити ризик втрати коштів.
- Власникам біткоїнів радиться переглянути свої заходи безпеки та підготуватися до ситуацій, коли вони можуть втратити доступ до своїх коштів.
У відкритому листі від 22 жовтня, адресованому клієнтам Casa та спільноті біткоїна, Лопп стверджував, що нещодавні атаки викликали справжні занепокоєння щодо управління приватними ключами, але не виправдовують відмови від прямого контролю над біткоїн-активами.
Лопп вказав на нещодавні інциденти, пов'язані з хакерами, які використовують ШІ для пошуку вразливостей безпеки, скомпрометовані ланцюги постачання апаратних гаманців, спустошені холодні гаманці та складніші шахрайства, що змусило багатьох власників біткоїнів сумніватися, чи можуть вони безпечно управляти власними коштами.
За його словами, багато атак, які сьогодні потрапляють у заголовки, вже були відомі фахівцям із безпеки, хоча їхня поява в реальних інцидентах зробила ризики важче ігнорувати для звичайних власників.
Лопп попереджає, що біткоїн-ETF не усувають ризики кастодії
Лопп особливо заперечував проти ідеї, що переміщення біткоїна в біржові інвестиційні фонди або інші керовані кастодіальні схеми пропонує просте рішення нещодавніх проблем безпеки.
Він визнав, що інвестори можуть почуватися комфортніше, покладаючись на фінансові установи після новин про компрометацію гаманців, але стверджував, що передача контролю над приватними ключами лише перекладає відповідальність на іншу сторону.
На його думку, біткоїн-ETF дають інвесторам доступ до ціни криптовалюти, не надаючи їм прямого контролю над базовими монетами.
Така схема вимагає від інвесторів залежності від фонду, його кастодіана та інших сторін, відповідальних за захист активів. Лопп попередив, що власники можуть мати мало впливу на рішення, що стосуються їхнього біткоїна, зокрема в ситуаціях із заморожуванням або конфіскацією з боку влади.
Він наполягав, що визначальні властивості біткоїна походять від його фіксованої пропозиції, публічно перевірюваних правил і здатності користувачів отримувати доступ до своїх активів без отримання дозволу від посередника.
Хоча інвестори могли б фінансово вигравати від біткоїна без володіння приватними ключами, Лопп стверджував, що вони не отримають того ж ступеня контролю, доступного через пряме володіння.
Попередження прозвучало після повідомлень про те, що деякі власники біткоїнів перемістили активи на централізовані платформи після нещодавніх компрометацій гаманців.
У серпні crypto.news повідомив про рекордні надходження на OKX після експлойту апаратного гаманця Coldcard, причому біржа заявила, що клієнти дедалі більше схиляються до керованої кастодії.
Нещодавні експлойти біткоїн-гаманців викликали занепокоєння щодо безпеки
Занепокоєння, викладене в листі Лоппа, виникло після кількох інцидентів, пов'язаних із слабкими місцями в програмному забезпеченні гаманців, розповсюдженні обладнання та генерації приватних ключів.
Один із найзначніших випадків стосувався апаратних гаманців Coldcard, де помилка конфігурації прошивки, що сягає березня 2021 року, спричинила генерацію відновлювальних сідів на уражених пристроях із використанням слабшого джерела випадковості.
У звіті від 3 серпня про експлойт безпеки Coldcard докладно описувалися підозрювані крадіжки біткоїнів на суму близько 90 мільйонів доларів на той час, а також заклики головного директора з безпеки Kraken Ніка Перкоко до незалежного тестування генерації сід-фраз гаманців.
Ця вразливість дозволяла зловмисникам відновлювати вразливі приватні ключі без фізичного доступу до пристроїв або отримання їхніх фраз відновлення.
Згодом Coldcard випустила виправлену прошивку, хоча раніше згенеровані вразливі сіди вимагали від користувачів створення нових гаманців і переказу своїх коштів.
Нещодавно, 13 жовтня, розслідування щодо скомпрометованих апаратних гаманців Ledger докладно описало випадки, пов'язані з пристроями, розповсюдженими через південно-східноазійського реселера CryptoBilis.
Ledger підтвердила, що в одному з постраждалих пристроїв було виявлено несанкціонований апаратний імплант, тоді як розслідування не встановило, що її власні системи або прямі канали продажу були скомпрометовані.
Проблеми безпеки, пов'язані зі слабкими сідами відновлення, також торкнулися інших криптовалютних мереж.
18 жовтня Qubic розкрила порушення безпеки гаманця, внаслідок якого приблизно 2,94 трильйона токенів QU вартістю 1,4 мільйона доларів було викрадено з 1404 гаманців.
Розробники простежили інцидент до недостатньої випадковості в певних сідах відновлення гаманців і згодом виправили відповідне програмне забезпечення.
Безпека мультипідпису залишається ключовою
На цьому тлі Лопп стверджував, що відповіддю на невдалі засоби контролю безпеки має бути покращення захисту гаманців, а не повна відмова від самостійного зберігання.
Спираючись на понад 15 років інцидентів безпеки в усій криптовалютній індустрії, він заявив, що ефективні схеми зберігання повинні враховувати людські помилки та можливість того, що окремі запобіжні заходи можуть не спрацювати.
Його улюблений підхід передбачав гаманці з мультипідписом, які розподіляють авторизацію транзакцій між кількома приватними ключами і можуть запобігти наданню повного доступу до коштів через компрометацію одного ключа.
Лопп застерігав, що мультипідпис сам по собі не є повним рішенням, хоча й наполягав, що ретельно розроблені схеми можуть забезпечити сильніший захист, ніж звичайні системи зберігання.
Він заохочував власників біткоїнів переглянути свої наявні налаштування та розподілити ключі між різними географічними локаціями та ланцюгами постачання апаратного забезпечення, щоб зменшити свою залежність від будь-якого окремого пристрою чи місця.
У листі планування спадкування розглядалося як ще один важливий аспект, зокрема те, що станеться з біткоїнами людини, якщо вона стане неспроможною отримати доступ до своїх коштів або керувати ними.
Casa, яка надає послуги допоміжного самостійного зберігання, позиціонує свою роль як допомогу клієнтам в управлінні цими схемами без володіння їхніми приватними ключами.
Лопп завершив застереженням, що як зловмисники, так і доброзичливі посередники зрештою можуть отримати контроль над чиїмись біткоїнами, залишаючи власникам відповідальність за вирішення того, скільки контролю вони готові віддати.
