Bitcoin on ohus: kuidas Coldcard raputas kogu krüptotööstust

​Coldcardi riistvaralise rahakoti haavatavusega seotud kahjusid hinnatakse nüüd enam kui 100 miljonile dollarile Bitcoinides. Juhtum on taaselustanud arutelu krüptomaailma ühe vanima turvapõhimõtte üle: hoida pikaajalisi varasid börsidelt eemal ja enda kontrolli all. Kuid milline näeb tegelikult välja turvaline Bitcoini hoiustamine?

Kasvav turvaintsident

Coldcardi tootja Coinkite avalikustas hiljuti vea, mis mõjutab ajavahemikus märts 2021 kuni juuli 2025 välja antud haavatavat püsivara. Ettevõtte sõnul võisid mõjutatud seadmed genereerida taastefraase (recovery seeds) oluliselt vähenenud entroopiaga rahakoti juhuarvude genereerimise vea tõttu. Probleem puudutab mitme põlvkonna seadmeid, sealhulgas Coldcard Mk2, Mk3, Mk4, Mk5 ja Coldcard Q.

Ettevõte on väljastanud parandatud püsivara, kuid haavatava tarkvaraga loodud rahakotid vajavad enamat kui lihtsalt värskendust. Coinkite soovitab mõjutatud kasutajatel genereerida uus taastefraas ja kanda oma vahendid üle.

Galaxy Researchi andmetel on ründajad nüüdseks varastanud ligikaudu 1800 BTC-d, väärtusega umbes 114 miljonit dollarit, vähemalt nelja koordineeritud rünnakulaine käigus, mis olid suunatud mõjutatud rahakottidele. Teadlaste sõnul tuvastatakse jätkuvalt täiendavaid kompromiteeritud aadresse, mis viitab sellele, et intsidendi täielik ulatus on alles selgumas.

Vaata postitust X-is Laadimine...

Autor on selle säutsu kustutanud.

Aga me salvestasime kõik 🙂.

Juhtumi ulatus üllatas paljusid Bitcoini kasutajaid, sest Coldcardi on pikka aega peetud üheks tööstuse kõige turvalisusele orienteeritud riistvaraliseks rahakotiks. Ainult Bitcoini jaoks loodud seade sai kogenud kasutajate seas eriti populaarseks tänu sellistele funktsioonidele nagu air-gapped allkirjastamine, avatud lähtekoodiga püsivara ja tugev rõhk ründepindade minimeerimisel.

Usaldus isehoiustamise vastu

Ekspluatatsioon mõjutas ka turu sentimenti. Bitcoini hind langes viimase päeva jooksul rohkem kui 1000 dollari võrra, kui uudised haavatavusest levisid, kuigi müügilaine langes kokku laiema turusurvega. Mõned kommentaatorid seostasid langust kasvava murega riistvaraliste rahakottide turvalisuse pärast, samas kui plokiahela analüüsifirma Santiment teatas turul kasvavast ärevusest pärast seda, kui vahendid hakkasid liikuma rahakottidest, mis olid aastaid seisnud puutumatuna.

Seda, kas haavatavus mõjutas Bitcoini hinda oluliselt, on raske kindlaks teha. Krüptoturud reageerivad paljudele teguritele üheaegselt ja turvaintsidendid toimuvad sageli koos laiemate makromajanduslike arengutega.

Sellegipoolest rõhutab reaktsioon seda, kui suurt usaldust Bitcoini omanikud riistvaralistele rahakottidele kui isehoiustamise alustalale panevad. See usaldus on tekkinud põhjusega.

Miks riistvaralised rahakotid muutusid standardiks

Bitcoini algne lubadus oli, et kasutajad saavad olla iseenda pank. Tehingu teine pool oli sama selge: puudub institutsioon, kes lähtestaks parooli, tühistaks volitamata tehingu või taastaks kaotatud vahendid.

Aja jooksul kujunes tööstuses välja lihtne lähenemisviis. Börsid pakkusid mugavust, kuid nõudsid kasutajatelt oma varade usaldamist kolmandale osapoolele. Silmapaistvad krahhid nagu Mt. Gox ja FTX kinnistasid põhimõtet, et investorid peaksid kontrollima oma privaatvõtmeid ise, mitte toetuma tsentraliseeritud halduritele.

Riistvaralised rahakotid said eelistatud lahenduseks, kuna need hoiavad privaatvõtmeid võrguühenduseta ja omaniku kontrolli all. Aastaid domineeris Bitcoini turvaaruteludes üks soovitus: osta Bitcoin börsilt ja liiguta see seejärel külmhoiusse (cold storage).

Coldcardi haavatavus ei lükka seda nõuannet tingimata ümber. See aga tuletab kasutajatele meelde, et isehoiustamine sõltub ka privaatvõtmete genereerimiseks ja kaitsmiseks kasutatava riist- ja tarkvara turvalisusest.

Igal hoiustamismeetodil on omad kompromissid

Viimane intsident rõhutab laiemat tegelikkust. Iga Bitcoini hoiustamise meetod kaitseb teatud riskide eest, jättes samas kasutaja avatuks teistele. Kõige sobivam lähenemisviis sõltub sageli varade mahust, sellest, kui tihti on vaja vahenditele ligi pääseda ja milliseid ohte investor püüab vähendada.

Püsivara haavatavused on endiselt suhteliselt haruldased. Turvauurijad tuvastavad jätkuvalt, et õngitsemisrünnakud, võltsitud rahakotirakendused, sotsiaalne manipuleerimine ja kompromiteeritud taastefraasid on krüptoraha varguste palju sagedasemad põhjused.

Coldcardi juhtum ei näita, et riistvaralised rahakotid on põhimõtteliselt ebakindlad. See aga illustreerib, miks Bitcoini turvalisus on alati seisnenud eri tüüpi riskide mõistmises, mitte ühele tootele toetumises.

Turvalisus muutub kihilisemaks

Kuna digitaalsete varade väärtus on kasvanud, on paljud pikaajalised Bitcoini omanikud võtnud kasutusele keerukamad turvameetmed.

Suurinvestorid jaotavad vahendeid üha enam mitme rahakoti vahel, hoiavad varukoopiaid eraldi asukohtades või kasutavad multiallkirja (multisignature) lahendusi, mis nõuavad enne tehingute autoriseerimist mitut sõltumatut võtit. Paljud institutsionaalsed haldurid toetuvad sarnastele põhimõtetele, et vähendada sõltuvust ühest seadmest või taastefraasist.

Enamik jaeinvestoreid ei vaja institutsionaalsel tasemel hoiustamispraktikaid, kuid riistvaraliste rahakottide ostmine otse tootjatelt, püsivara ajakohasena hoidmine ja taastefraaside kaitsmine võrguühenduseta on endiselt ühed tõhusamad viisid riski vähendamiseks.

Coldcardi intsident on ka meeldetuletus, et isehoiustamine ei ole midagi sellist, mille kasutajad korra paika panevad ja unustavad. Nagu iga turvasüsteem, nõuab see pidevat hooldust, kuna tarkvara, seadmed ja ohud arenevad edasi.

Järgmine peatükk isehoiustamises

Aastaid keskendus Bitcoini hoiustamise teemaline vestlus lihtsale soovitusele: liigutage oma mündid börsidelt külmhoiusse. Coldcardi intsident ei sea seda nõuannet tingimata kahtluse alla, kuid see näitab, et turvaline isehoiustamine sõltub enamast kui vaid õige seadme valimisest. See sõltub ka sellest, kuidas seda seadet aja jooksul kasutatakse, hooldatakse ja värskendatakse.

Bitcoin loodi selleks, et vähendada vajadust usaldada finantsvahendajaid. Ökosüsteemi küpsedes võib arutelu järk-järgult nihkuda ühe "turvalisima" hoiustamismeetodi otsimiselt iga turvakihi taga olevate kompromisside mõistmise suunas.