Джеймсон Лопп предостерегает держателей биткоина от отказа от самостоятельного хранения

В открытом письме от 22 октября, адресованном клиентам Casa и биткоин-сообществу, Лопп заявил, что недавние атаки вызвали обоснованные опасения по поводу управления приватными ключами, но не оправдывают отказ от прямого контроля над биткоин-активами.

Лопп указал на недавние инциденты с использованием хакерами ИИ для поиска уязвимостей, компрометацию цепочек поставок аппаратных кошельков, опустошение холодных кошельков и более изощрённые мошенничества, из-за которых многие держатели биткоина стали сомневаться, могут ли они безопасно управлять своими средствами.

По его словам, многие атаки, попадающие сегодня в заголовки, уже были известны специалистам по безопасности, хотя их появление в реальных инцидентах сделало риски более трудными для игнорирования обычными держателями.

Лопп предупреждает, что биткоин-ETF не устраняют риски хранения

Лопп особенно не согласился с идеей, что перевод биткоина в биржевые инвестиционные фонды или другие управляемые схемы хранения предлагает простое решение недавних проблем безопасности.

Он признал, что инвесторы могут чувствовать себя более комфортно, полагаясь на финансовые институты после сообщений о компрометации кошельков, но утверждал, что передача контроля над приватными ключами лишь перекладывает ответственность на другую сторону.

По его мнению, биткоин-ETF дают инвесторам доступ к цене криптовалюты без прямого контроля над базовыми монетами.

Такая схема требует от инвесторов полагаться на фонд, его кастодиана и другие стороны, ответственные за сохранность активов. Лопп предупредил, что держатели могут иметь мало влияния на решения, затрагивающие их биткоин, включая ситуации с заморозкой или конфискацией властями.

Он подчеркнул, что определяющие свойства биткоина обусловлены фиксированным предложением, публично проверяемыми правилами и возможностью пользователей получать доступ к своим активам без разрешения посредника.

Хотя инвесторы могут получать финансовую выгоду от биткоина, не владея приватными ключами, Лопп утверждал, что они не получат той же степени контроля, которая доступна при прямом владении.

Предупреждение последовало за сообщениями о том, что некоторые держатели биткоина перевели активы на централизованные платформы после недавних компрометаций кошельков.

В августе сообщалось о рекордных притоках на OKX после эксплуатации аппаратного кошелька Coldcard, при этом биржа заявила, что клиенты всё чаще обращаются к управляемому хранению.

Недавние эксплойты биткоин-кошельков вызвали обеспокоенность по поводу безопасности

Опасения, изложенные в письме Лоппа, последовали за несколькими инцидентами, связанными с уязвимостями в программном обеспечении кошельков, дистрибуции оборудования и генерации приватных ключей.

Один из самых значительных случаев касался аппаратных кошельков Coldcard, где ошибка конфигурации прошивки, допущенная ещё в марте 2021 года, привела к тому, что затронутые устройства генерировали сиды восстановления с использованием более слабого источника случайности.

В отчёте от 3 августа об эксплойте безопасности Coldcard подробно описывались предполагаемые кражи биткоинов на сумму почти 90 миллионов долларов на тот момент и призывы директора по безопасности Kraken Ника Перкоко к независимому тестированию генерации сидов кошельков.

Уязвимость позволяла злоумышленникам восстанавливать уязвимые приватные ключи без физического доступа к устройствам или получения фраз восстановления.

Впоследствии Coldcard выпустила исправленную прошивку, хотя ранее сгенерированные уязвимые сиды требовали от пользователей создания новых кошельков и перевода своих активов.

Совсем недавно, 13 октября, расследование скомпрометированных аппаратных кошельков Ledger подробно описало случаи с устройствами, распространяемыми через реселлера CryptoBilis в Юго-Восточной Азии.

Ledger подтвердила, что в одном из затронутых устройств был обнаружен несанкционированный аппаратный имплантат, при этом расследование не установило, что её собственные системы или прямые каналы продаж были скомпрометированы.

Проблемы безопасности, связанные со слабыми сидами восстановления, затронули и другие криптовалютные сети.

18 октября Qubic раскрыла информацию о взломе безопасности кошелька, в результате которого было похищено около 2,94 триллиона токенов QU на сумму 1,4 миллиона долларов из 1404 кошельков.

Разработчики связали инцидент с недостаточной случайностью в некоторых сидах восстановления кошельков и впоследствии исправили затронутое программное обеспечение.

Безопасность мультиподписи остаётся центральной

На этом фоне Лопп утверждал, что ответом на неэффективные меры безопасности должно стать улучшение защиты кошельков, а не полный отказ от самостоятельного хранения.

Опираясь на более чем 15-летний опыт инцидентов безопасности в криптовалютной индустрии, он сказал, что эффективные схемы хранения должны учитывать человеческие ошибки и возможность отказа отдельных средств защиты.

Его предпочтительный подход включал кошельки с мультиподписью, которые распределяют авторизацию транзакций между несколькими приватными ключами и могут предотвратить получение полного доступа к средствам при компрометации одного ключа.

Лопп предупредил, что мультиподпись сама по себе не является полным решением, хотя и утверждал, что тщательно продуманные схемы могут обеспечить более надёжную защиту, чем традиционные системы хранения.

Он призвал держателей биткоина пересмотреть свои текущие настройки и распределить ключи по разным географическим точкам и цепочкам поставок оборудования, чтобы снизить зависимость от какого-либо одного устройства или места.

В письме также рассматривалось планирование наследования как ещё одно важное соображение, особенно что произойдёт с чьим-то биткоином, если человек не сможет получить доступ к своим активам или управлять ими.

Casa, предоставляющая услуги ассистированного самостоятельного хранения, позиционирует свою роль как помощь клиентам в управлении такими схемами без завладения их приватными ключами.

Лопп завершил письмо предупреждением, что как злоумышленники, так и благонамеренные посредники могут в конечном итоге получить контроль над чужим биткоином, оставляя держателям ответственность за решение, какой степенью контроля они готовы поступиться.