Masívna krádež Bitcoinu: Za 25 minút odčerpaných 38 miliónov dolárov z peňaženiek

Komunita kryptomien sa spamätáva zo sofistikovanej krádeže, pri ktorej zmizli desiatky miliónov dolárov v priebehu niekoľkých minút. V bleskovo rýchlej operácii trvajúcej len asi 25 minút sa neidentifikovaným útočníkom podarilo odčerpať približne 594 BTC zo stoviek samostatných účtov. Pri súčasných trhových cenách sa ukradnuté aktíva oceňujú na približne 38 miliónov dolárov. Tento incident je obzvlášť znepokojujúci, pretože sa zameral na hardvérové peňaženky, ktoré sú široko považované za zlatý štandard pre bezpečné ukladanie digitálnych aktív. Analytici teraz skúmajú blockchain, zatiaľ čo obete čelia strate držby, ktoré boli v niektorých prípadoch uložené roky.

Presnosť útoku naznačuje vysokú úroveň technických zručností. Kompromitovaných bolo celkovo takmer 500 peňaženiek, z ktorých väčšina bola jednopodpisové adresy využívajúce staršie formáty alebo formáty SegWit. Mnohé z týchto peňaženiek boli dlho neaktívne, pričom niektoré obsahovali mince, ktoré sa nehýbali od roku 2021. Schopnosť útočníkov súčasne identifikovať a zneužiť tieto konkrétne účty poukazuje skôr na systematickú zraniteľnosť než na individuálne chyby používateľov.

Čísla a fakty

Detaily lúpeže sú ohromujúce. Výskumníci blockchainu zistili, že útočník presunul viac ako 1 300 neviazaných výstupov transakcií (UTXO) cez niekoľko blokov, aby skonsolidoval korisť. Ukradnuté prostriedky boli nakoniec zhromaždené na jedinej cieľovej adrese. Je pozoruhodné, že postihnuté peňaženky nemali multisignature ochranu, čo z nich robilo ľahšie ciele po kompromitácii súkromných kľúčov. Napriek rozsahu krádeže vo výške 38 miliónov dolárov zostala cena Bitcoinu relatívne stabilná, čo naznačuje, že trh sa stal do istej miery odolným voči správam o individuálnych bezpečnostných incidentoch.

Coinkite, výrobca hardvérových peňaženiek Coldcard, už situáciu rieši. Vyšetrovanie sa momentálne zameriava na historický problém náhodnosti (entropie) nájdený v určitých verziách firmvéru Coldcard Mk3. Ak entropia použitá počas vytvárania obnovovacieho seedu nie je dostatočná, výsledné súkromné kľúče môžu byť pre sofistikovaných útočníkov matematicky predvídateľné. Spoločnosť vydala súbor urgentných pokynov pre používateľov starších zariadení.

"Vygenerujte nový obnovovací seed pomocou aktualizovaného hardvéru alebo firmvéru. Preneste prostriedky do novo vytvorených peňaženiek a pred prenosom aktív overte zálohy." - Oficiálne odporúčanie, Coinkite

Pozadie

Bezpečnostná chyba sa zdá byť významnejšia, než sa pôvodne myslelo. Výskumníci skúmajú, či firmvérový problém umožnil rekonštrukciu súkromných kľúčov vygenerovaných v minulosti. Keďže hardvérové peňaženky ako Coldcard sú navrhnuté tak, aby súkromné kľúče nikdy neopustili zariadenie, takáto zraniteľnosť zasahuje jadro hodnotovej ponuky produktu. Coinkite však zdôraznilo, že novšie modely touto konkrétnou chybou entropie pravdepodobne netrpia. Napriek tomu incident slúži ako ostré pripomenutie, že ani riešenia pre cold storage nie sú imúnne voči rizikám súvisiacim so softvérom.

Experti tiež varujú používateľov, aby sa mali na pozore pred nevyžiadanými ponukami pomoci alebo podpory. Po takýchto významných hackoch často podvodníci nasadzujú phishingové kampane, aby ukradli akékoľvek zostávajúce aktíva od panikárených používateľov. Každému, kto používa Coldcard Mk3, sa odporúča komunikovať výhradne prostredníctvom oficiálnych kanálov výrobcu a nikdy nezadávať svoje seed frázy na žiadnu webovú stránku ani digitálnu aplikáciu.

Prečo je to dôležité pre nemeckých hráčov

Pre nemeckých hráčov, ktorí používajú kryptomeny na zabezpečenie výhier z online kasín alebo športových stávok, je táto krádež vážnym varovaním. V Nemecku je hazardné hry prísne regulované medzištátnou zmluvou o hazardných hrách 2021 (GlüStV 2021). Zatiaľ čo krypto-kasína často operujú na neregulovaných šedých trhoch, kde je bremeno bezpečnosti úplne na jednotlivcovi, operátori s licenciou GGL poskytujú úplne inú úroveň ochrany. Hranie s legálne uznávaným nemeckým poskytovateľom zaisťuje, že vaše vklady sú chránené štátnym dohľadom a finančnými zárukami.

V Nemecku je mesačný limit vkladov prostredníctvom systému LUGAS stanovený na 1 000 eur. Aj keď sa to niektorým môže zdať obmedzujúce, slúži to ako životne dôležité ochranné opatrenie proti masívnym finančným stratám. Tí, ktorí konvertujú svoje výhry na Bitcoin a ukladajú ich na neoverené hardvérové peňaženky, v podstate obchádzajú tieto bezpečnostné siete. Tento prípad dokazuje, že ani fyzické vlastníctvo zariadenia nezaručuje 100% bezpečnosť, ak má základná technológia chybu zadnými vrátkami. Stále je rozumné diverzifikovať veľké sumy naprieč viacerými bezpečnostnými riešeniami namiesto toho, aby ste sa spoliehali na jedinú peňaženku.

Čo to znamená pre kasína s licenciou GGL

Štátom licencované kasína v Nemecku priamo neprijímajú kryptomeny ako Bitcoin, pretože anonymita a volatilita s nimi spojená sú nezlučiteľné s požiadavkami GlüStV 2021. Pre operátorov na zozname GGL táto udalosť potvrdzuje platnosť ich bezpečného prístupu. Spoliehajú sa na overených poskytovateľov platieb, ako sú PayPal, Klarna alebo kreditné karty, ktoré často umožňujú vrátenie transakcií v prípadoch podvodu – možnosť, ktorá jednoducho neexistuje pre Bitcoin po krádeži vo výške 38 miliónov dolárov.

GGL udržiava zoznam všetkých legálnych poskytovateľov. Hráči, ktorí sa držia týchto stránok, sa nemusia obávať chýb firmvéru alebo hackerov zameriavajúcich sa na ich súkromné kľúče. Ochrana hráča je tu najvyššou prioritou, vrátane limitu 1 euro na zatočenie na virtuálnych automatoch. Zatiaľ čo krypto svet sa často môže zdať ako Divoký západ, regulovaný nemecký trh poskytuje záchrannú sieť, vďaka ktorej sú katastrofálne straty spôsobené technickými zraniteľnosťami takmer nemožné.