Безпека криптовалют тепер виходить за межі гаманця — до адреси клієнта
Французьку родину грабіжники кілька годин тримали зв'язаною заради її криптовалюти. Поліція не повідомила, як зловмисники обрали саме цей будинок, і саме в цій прогалині криється проблема галузі з даними.
Близько 4-ї години ранку 20 вересня четверо чоловіків у каптурах вдерлися до сімейного будинку на півночі Франції. Вони зв'язали батьків і двох дітей чорним скотчем і змусили батька видати коди доступу та переказати 40 000 євро.
Батько — найманий ІТ-фахівець у криптоіндустрії. Прокуратура поки не повідомила, як зловмисники його обчислили.
Окремий інцидент того ж місяця показав, наскільки легко подібна інформація витікає. 13 серпня виробник апаратних гаманців Trezor повідомив 13 689 клієнтам, що витік у одного з його логістичних підрядників розкрив конфіденційні дані замовлень. Згодом це число зросло до понад 80 000.
Ніщо не пов'язує ці два випадки, та це й не потрібно. Разом вони описують ту саму вразливість із двох боків: базу даних, де домашня адреса сусідить із підтвердженням володіння криптовалютою, і те, що відбувається, коли хтось цим користується.
BeInCrypto поспілкувався з експертами з Hacken і Zama про те, що провайдер винен своїм клієнтам, коли підрядник розкриває їхню особу, які дані галузі час перестати зберігати і як клієнт може зрозуміти, що кастодіан підведе його під примусом.
Що упускає фраза “Ключі не скомпрометовано”
Коли в серпні Trezor оголосив про витік, він наголосив на тому, чого не сталося. Його власні системи не були скомпрометовані, заявив він, а пристрої лишилися в безпеці.
Ці запевнення стосувалися того ризику, заради запобігання якому й існують апаратні гаманці: крадіжки коштів.
Однак керівник напряму GRC та операцій із безпеки Hacken Дмитро Ясманович пояснив, що відсутність викраденого приватного ключа не означає, що клієнти поза небезпекою.
“Той, хто знає ваше ім'я, домашню адресу і те, що у вас є апаратний гаманець, володіє інформацією, за допомогою якої може обрати вас ціллю. Скомпрометований ключ можна замінити за хвилини. З домашньою адресою так не вийде.”
Він стверджує, що саме тому інформація, яку зберігають кур'єрські компанії та інші підрядники, заслуговує не меншої уваги, ніж сам гаманець. Якщо база пов'язує власника криптовалюти з його домом, наслідки можуть торкнутися і його родини, додав Ясманович.
“Тобто провайдер може не дати нікому дістатися до ваших коштів і все одно залишити вас вразливим у значно особистіший спосіб. Питання в тому, чи захищають його заходи безпеки клієнта, а не лише гаманець.”
Французькі цифри за цим попередженням
Франція показує, як це виглядає. Міністр внутрішніх справ Лоран Нуньєс наприкінці червня повідомив, що влада зафіксувала понад 70 насильницьких інцидентів, пов'язаних із криптовалютою, від січня.
Chainalysis, яка рахувала публічно відомі випадки, зафіксувала у Франції 30 за першу половину 2026 року проти 19 за весь 2025-й.
Фірма називає найімовірнішою причиною витік даних. Вона вказує на справу 2024 року, коли французький податковий чиновник, за версією слідства, викрав досьє на заможних власників криптовалюти, включно з адресами й телефонами, і продав їх кримінальним посередникам.
Вразливість для родини, про яку каже Ясманович, видно в тих самих даних. У Франції понад 40% інцидентів були спрямовані проти родича, а не самого власника. Загалом вторгнення в домівки склали 37% задокументованих нападів до середини 2026 року проти 26% у 2023-му.
За оцінкою Chainalysis, насильницькі напади на власників по всьому світу принесли зловмисникам понад 30 млн доларів за перше півріччя. Тут враховано лише ті напади, за яких власник віддав кошти.
Загальні збитки у звіті оцінюються в 107 млн доларів, включно з вимогами викупу, заблокованими переказами та поверненими коштами, при цьому зазначається, що навіть ця цифра охоплює лише заявлені випадки.
Дані, що стоять за вибором жертви
Таким нападам потрібна ціль, і ціль може виникнути із запису, який хтось зберіг. Через це зберігання даних стає ще однією проблемою безпеки для криптоіндустрії.
Компаніям може бути потрібна інформація про клієнта для конкретної операції чи послуги. Однак безстрокове її зберігання може створити окремий ризик, якщо ця інформація згодом виявиться розкритою. То яку ж частину клієнтських даних галузі варто перестати збирати або видаляти раніше, ніж зараз?
Ясманович називає номер телефону. Він пояснив, що компанії він може знадобитися для організації доставки, але це не пояснює, чому він має роками лишатися в клієнтській базі.
Таким чином, якщо базу зламають, номер може стати в пригоді для фішингу, голосового шахрайства чи спроб підміни SIM-картки.
“Я б видаляв зв'язок між замовленням і фізичною адресою доставки, щойно доставку завершено і ділової причини зберігати її більше немає. Компанія може зберігати те, що потрібно для податкових і гарантійних цілей, не тримаючи повного запису про те, куди було доставлено кожне замовлення.”
Він окреслив ще одну проблему: видалення даних часто тримається на чиїхось словах, що його виконано.
“В одному випадку в компанії було правило зберігання дев'яносто днів і письмове підтвердження від логістичного партнера, що старі записи видалено. Дані за роки все ще лежали в їхніх системах. Саме тому я хотів би бачити доказ видалення, а не просто політику зберігання. Якщо ніхто не перевіряє, чи дотримано правила, воно дає мало захисту.”
Та сама відповідальність поширюється й на те, що відбувається після розкриття клієнтської інформації. За словами Ясмановича, окрім листа-попередження провайдер має точно пояснити, яка саме інформація була розкрита.
“Витікле місто — це одне. Ім'я, домашня адреса й підтвердження володіння криптовалютою створюють інший рівень ризику…Тому, чия адреса витекла, може знадобитися допомога в організації майбутніх доставок так, щоб не розкривати її знову… Має бути конкретна людина чи команда, до яких можна звернутися, коли ситуація потребує більшого, ніж стандартний FAQ.”
Він згадав, що провайдеру також потрібно розібратися з тим, що взагалі дозволило розкриттю статися. Якщо підрядник зберігає дані довше за узгоджений термін, клієнтам слід розповісти, як це буде відвернено і як видалення перевірятиметься в майбутньому.
“Лист-попередження — це відправна точка. Людям потрібно знати, що сталося, що вони можуть зробити зараз і чи справді компанія полагодила процес, що дав збій.”
Реакцію самого Trezor на його власний витік можна оцінити за цим списком. Він розіслав постраждалим клієнтам індивідуальні листи, зазначивши, чи було розкриття повним або частковим, і попередив про фішинг, а у вересні — про ризики фізичної безпеки.
Він також пообіцяв опцію анонімної доставки з отриманням у поштоматах, пакуванням без брендингу та автоматичним видаленням ідентифікаторів відправлень.
Чи здатна технологія конфіденційності закрити цю прогалину?
Проблема не обмежується даними, які компанії зберігають поза блокчейном. Мірою того як усе більше фінансової активності переходить у публічні блокчейни, самі транзакції можуть створювати ще один шар вразливості.
Генеральний директор і співзасновник Zama доктор Ренд Хінді сказав, що інцидент із Trezor висвітлює проблему зберігання даних поза блокчейном.
Він доводив, що мірою того як інституційний капітал масово переходить у блокчейн, конфіденційність у блокчейні перестає бути опцією і стає умовою участі. Хінді послався на оцінку BCG, згідно з якою цифрові реальні активи можуть досягти приблизно 16% світових інвестовних активів до 2035 року.
Він сказав, що регульовані інституції не можуть працювати в публічному реєстрі, де видно кожну позицію та зв'язок із контрагентом. Топменеджер указав на повністю гомоморфне шифрування (FHE) як на один зі способів розв'язати це, не жертвуючи відповідністю вимогам.
“FHE дозволяє обчислювати прямо над зашифрованими даними – переказ виконується, поріг AML перевіряється, право на операцію підтверджується, і все це над шифротекстом – при цьому ні валідатор, ні оглядач блоків жодного разу не бачать баланс чи інші конфіденційні дані. Коли доступ потрібен регулятору, санкціонований поріг власників ключів (комплаєнс-команда) дозволяє розшифрування, забезпечене на рівні протоколу, а не на рівні політики.”
Технологія конфіденційності може також обмежити, скільки інформації компанії зобов'язані розкривати, не роблячи перевірку неможливою.
Ясманович сказав, що докази з нульовим розголошенням можуть дозволити біржі продемонструвати, що в неї достатньо активів для покриття балансів клієнтів, не публікуючи баланс кожного клієнта.
Таким чином, біржа може поділитися свідченням свого загального становища, не виставляючи напоказ інформацію за окремими рахунками. Експерт додав, що це не означає, що інформація стає недоступною.
Залежно від того, як спроектовано систему, уповноважений слідчий усе ж може вивчити свідчення та записи, що лежать в їх основі, через належний аудит чи юридичну процедуру.
Він додав, що вибіркове розкриття працює за схожим принципом при передаванні ідентифікаційної інформації. Сервісу може знадобитися підтвердити, що людина відповідає певній вимозі, не отримуючи при цьому весь її документ, що посвідчує особу, або клієнтський профіль.
“Жоден із підходів не розв'язує проблему персональних даних, що зберігаються поза блокчейном. Суми транзакцій, час і зв'язки між гаманцями можуть лишатися видимими, тоді як документи, що посвідчують особу, і домашні адреси, як і раніше, лежать у базах бірж, служб доставки та платіжних систем.”
Ясманович зазначив, що прогалина доволі очевидна. Компанія може поліпшити конфіденційність навколо самої транзакції, лишаючи при цьому інформацію, потрібну для доставки й підтримки цієї транзакції, розкритою десь інде.
Коли облікові дані справжні, а клієнт невільний
Відмінність між конфіденційністю транзакції та особистою безпекою стає ще важливішою, коли клієнта примушують санкціонувати переказ. У кастодіального провайдера може бути захищена інфраструктура й надійний контроль доступу.
Але ці засоби захисту проходять інше випробування, коли клієнта під примусом змушують віддати активи.
Ясманович сказав, що технічний аудит може показати, що система працює як задумано. Він менш корисний для розуміння того, що відбувається, коли людину змушують віддати активи.
“Я б протестував процес виведення коштів під таким тиском. Наприклад, клієнт із дійсними обліковими даними запитує великий переказ, поки його хтось примушує. Чи здатен провайдер розпізнати ситуацію, призупинити виведення чи підключити когось іще, перш ніж гроші підуть?”
Обов'язкові для нього заходи — друга уповноважена людина та примусова затримка на великі перекази, жодну з яких клієнт не може зняти в тій самій сесії. Ясманович наголосив, що сенс у тому, щоб дати провайдеру шанс втрутитися, коли дійсний вхід не обов'язково означає, що клієнт діє вільно.
“Я б також попросив показати процес у дії. Політика може вимагати другого схвалення, але це не каже вам, чи справді схвалення незалежне і чи не можуть співробітники його обійти. Живий тест виявив би ці слабкі місця значно швидше, ніж черговий чистий технічний аудит.”
Кастодіальна система може працювати точнісінько як задумано і все одно підвести того, хто нею користується. Останній крок завжди проходить через людину, а людині можна погрожувати.
Джерело: BeInCrypto