Французьку сім'ю зловмисники кілька годин тримали зв'язаною заради їхньої криптовалюти. Поліція не повідомила, як нападники обрали саме цей будинок, і саме в цій прогалині криється проблема галузі з даними.
Близько 4-ї години ранку 20 вересня четверо чоловіків у каптурах увірвалися до сімейного будинку на півночі Франції. Вони зв'язали чорною стрічкою батьків і двох дітей та змусили батька видати коди доступу й переказати 40 000 євро.
Батько — найманий ІТ-фахівець у криптоіндустрії. Прокуратура поки не повідомила, як нападники вирахували його.
Окремий інцидент того самого місяця показав, наскільки легко витікає подібна інформація. 13 серпня виробник апаратних гаманців Trezor повідомив 13 689 клієнтам, що витік в одного з його логістичних підрядників розкрив чутливі дані замовлень. Згодом це число зросло до понад 80 000.
Ці два випадки нічим не пов'язані, та й не мають бути. Разом вони описують ту саму вразливість з двох боків: базу даних, яка пов'язує домашню адресу з доказом володіння криптовалютою, і те, що відбувається, коли хтось цим скористається.
BeInCrypto поговорив з експертами з Hacken і Zama про те, що провайдер винен своїм клієнтам, коли підрядник розкриває їхню особу, які дані галузі варто перестати зберігати і як клієнт може зрозуміти, що кастодіан підведе його під примусом.
Що приховує фраза «Ключі не скомпрометовано»
Коли Trezor оголосив про витік у серпні, компанія зробила наголос на тому, чого не сталося. За її словами, власні системи не були скомпрометовані, а пристрої залишалися в безпеці.
Ці запевнення стосувалися того ризику, заради запобігання якому й існують апаратні гаманці: крадіжки коштів.
Однак керівник GRC та операцій з безпеки Hacken Дмитро Ясманович пояснив, що відсутність викраденого приватного ключа не означає, що клієнти поза небезпекою.
“Той, хто знає ваше ім'я, домашню адресу і те, що у вас є апаратний гаманець, має інформацію, яку може використати проти вас. Скомпрометований ключ можна замінити за хвилини. З домашньою адресою так не вийде.”
Він стверджує, що саме тому інформація, яку зберігають кур'єрські компанії та інші підрядники, заслуговує на не меншу увагу, ніж сам гаманець. Якщо база даних пов'язує власника криптовалюти з його домівкою, наслідки можуть торкнутися і його сім'ї, додав Ясманович.
“Тобто провайдер може не дати нікому доступу до ваших коштів і все одно залишити вас вразливим у куди більш особистий спосіб. Питання в тому, чи захищають його заходи безпеки клієнта, а не лише гаманець.”
Французька статистика за цим попередженням
Франція показує, як це виглядає. Міністр внутрішніх справ Лоран Нуньєс заявив наприкінці червня, що влада зафіксувала понад 70 пов'язаних з криптовалютою насильницьких інцидентів з січня.
Chainalysis, яка підрахувала публічно повідомлені випадки, нарахувала у Франції 30 за першу половину 2026 року проти 19 за весь 2025 рік.
Компанія називає найімовірнішою причиною витік даних. Вона вказує на випадок 2024 року, коли французький податковий чиновник, за версією слідства, викрав досьє на заможних власників криптовалюти, включно з адресами й телефонами, і продав їх кримінальним посередникам.
Вразливість сім'ї, про яку говорить Ясманович, видно в тих самих даних. У Франції понад 40% інцидентів були спрямовані проти родича, а не самого власника. Загалом вторгнення в домівки склали 37% задокументованих нападів до середини 2026 року проти 26% у 2023-му.
За оцінкою Chainalysis, насильницькі напади на власників по всьому світу принесли понад 30 млн доларів у першій половині року. Сюди входять лише напади, за яких власник віддав кошти.
У звіті загальні збитки оцінюються у 107 млн доларів з урахуванням вимог викупу, заблокованих переказів і повернутих коштів, при цьому зазначається, що навіть ця цифра охоплює лише повідомлені випадки.
Дані, що стоять за ціллю
Таким нападам потрібна ціль, а ціль може прийти із запису, який хтось зберіг. Це робить зберігання даних ще однією проблемою безпеки для криптоіндустрії.
Компаніям може знадобитися інформація про клієнта для конкретної транзакції чи послуги. Однак безстрокове її зберігання може створити окремий ризик, якщо ця інформація пізніше буде розкрита. То які дані про клієнта галузі варто перестати збирати або видаляти раніше, ніж зараз?
Ясманович називає номер телефону. Він пояснив, що компанії він може знадобитися для організації доставки, але це не пояснює, чому він має роками залишатися в клієнтській базі.
Адже якщо базу зламають, номер може стати в пригоді для фішингу, голосового шахрайства або спроб підміни SIM-картки.
“Я б видаляв зв'язок між замовленням і фізичною адресою доставки, щойно доставку завершено і більше немає ділової причини її зберігати. Компанія може зберігати те, що потрібно для цілей оподаткування та гарантії, не утримуючи повного запису про те, куди було доставлено кожне замовлення.”
Він окреслив і іншу проблему: видалення даних часто тримається на чиємусь слові, що його виконано.
“В одному випадку компанія мала правило зберігання в дев'яносто днів і письмове підтвердження від партнера з логістики, що старіші записи видалено. Дані за роки все ще лежали в їхніх системах. Ось чому я хотів би бачити доказ видалення, а не просто політику зберігання. Якщо ніхто не перевіряє, чи дотримано правило, воно майже не захищає.”
Та сама відповідальність поширюється на те, що відбувається після розкриття інформації про клієнта. За словами Ясмановича, окрім листа-попередження провайдер має точно пояснити, яка саме інформація була розкрита.
“Витекле місто — це одне. Ім'я, домашня адреса і доказ володіння криптовалютою створюють зовсім інший рівень ризику…Тому, чия адреса витекла, може знадобитися допомога в організації майбутніх доставок так, щоб не розкривати її знову… Має бути конкретна людина або команда, до яких можна звернутися, коли ситуація вимагає більшого, ніж стандартний розділ запитань і відповідей.”
Він зазначив, що провайдеру також потрібно розібратися з тим, що взагалі дозволило розкриттю статися. Якщо підрядник зберігає дані довше за узгоджений строк, клієнтам слід розповісти, як цьому запобігатимуть і як видалення перевірятимуть у майбутньому.
“Лист-попередження — це відправна точка. Людям потрібно знати, що сталося, що вони можуть зробити зараз і чи справді компанія виправила процес, який дав збій.”
Реакцію Trezor на власний витік можна оцінити за цим списком. Компанія розіслала постраждалим клієнтам індивідуальні листи, зазначивши, чи було розкриття повним або частковим, і попередила про фішинг, а у вересні — і про ризики фізичної безпеки.
Вона також пообіцяла варіант анонімної доставки з отриманням через поштомати, пакуванням без брендингу та автоматичним видаленням ідентифікаторів відправлень.
Чи може технологія приватності закрити цю прогалину?
Проблема не обмежується даними, які компанії зберігають поза блокчейном. У міру того як дедалі більше фінансової активності переходить у публічні блокчейни, самі транзакції можуть створювати ще один шар вразливості.
Генеральний директор і співзасновник Zama доктор Ранд Хінді сказав, що інцидент з Trezor висвітлює проблему зберігання даних поза блокчейном.
Він стверджував, що в міру того як інституційний капітал у великих обсягах переходить у блокчейн, конфіденційність у мережі перестає бути функцією і стає умовою участі. Хінді послався на оцінку BCG, згідно з якою цифрові реальні активи можуть досягти приблизно 16% світових інвестиційних активів до 2035 року.
Він сказав, що регульовані установи не можуть працювати в публічному реєстрі, де видно кожну позицію та кожен зв'язок з контрагентом. Керівник указав на повністю гомоморфне шифрування (FHE) як на один зі способів вирішити це без шкоди для комплаєнсу.
“FHE дозволяє обчислювати прямо на зашифрованих даних — переказ виконується, поріг AML перевіряється, право на участь підтверджується, і все це на шифротексті — при цьому жоден валідатор чи оглядач блоків ніколи не бачить баланс або інші чутливі дані. Коли доступ потрібен регулятору, дозволений поріг власників ключів (команда комплаєнсу) санкціонує розшифрування, яке забезпечується на рівні протоколу, а не через політику.”
Технологія приватності також може обмежити обсяг інформації, який компанії зобов'язані розкривати, не роблячи перевірку неможливою.
Ясманович сказав, що докази з нульовим розголошенням дозволяють біржі продемонструвати, що в неї достатньо активів для покриття балансів клієнтів, не публікуючи баланс кожного клієнта.
Таким чином біржа може поділитися свідченням свого загального стану, не виставляючи напоказ інформацію за окремими рахунками. Експерт додав, що це не означає, що інформація стає недоступною.
Залежно від того, як влаштовано систему, уповноважений слідчий усе ж може вивчити свідчення та записи, що лежать у їх основі, через належний аудит або юридичну процедуру.
Він додав, що вибіркове розкриття працює за схожим принципом при передачі ідентифікаційної інформації. Сервісу може знадобитися підтвердити, що людина відповідає певній вимозі, не отримуючи її посвідчення особи цілком або весь клієнтський профіль.
“Жоден із підходів не вирішує проблему персональних даних, що зберігаються поза блокчейном. Суми транзакцій, час і зв'язки між гаманцями можуть залишатися видимими, тоді як посвідчення особи та домашні адреси, як і раніше, лежать у базах бірж, служб доставки і платіжних систем.”
Ясманович зазначив, що прогалина досить проста. Компанія може покращити приватність навколо самої транзакції, залишивши при цьому інформацію, необхідну для доставки й підтримки цієї транзакції, відкритою десь інде.
Коли облікові дані справжні, а клієнт невільний
Різниця між приватністю транзакції та особистою безпекою стає ще важливішою, коли клієнта примушують санкціонувати переказ. У кастодіального провайдера може бути захищена інфраструктура і надійний контроль доступу.
Але ці заходи захисту проходять інше випробування, коли клієнта під примусом змушують віддати активи.
Ясманович сказав, що технічний аудит може показати, що система працює як задумано. Він менш корисний для розуміння того, що відбувається, коли людину змушують віддати активи.
“Я б перевірив процес виведення під таким тиском. Наприклад, клієнт з дійсними обліковими даними запитує великий переказ, поки його хтось примушує. Чи може провайдер розпізнати ситуацію, призупинити виведення або залучити когось іще до того, як гроші підуть?”
Необхідні йому заходи контролю — це друга уповноважена особа й обов'язкова затримка на великі перекази, жодну з яких клієнт не може скасувати протягом тієї самої сесії. Ясманович підкреслив, що суть у тому, щоб дати провайдеру шанс втрутитися, коли дійсний вхід не обов'язково означає, що клієнт діє вільно.
“Я б також попросив показати процес у дії. Політика може вимагати другого схвалення, але це не говорить вам, чи справді схвалення незалежне і чи можуть співробітники його обійти. Живий тест виявив би ці слабкі місця значно швидше, ніж черговий бездоганний технічний аудит.”
Кастодіальна система може працювати точно як задумано і все одно підвести людину, яка нею користується. Останній крок завжди проходить через людину, а людину можна залякати.
Джерело: BeInCrypto
