<За словами Бена Чароенвонга (Ben Charoenwong) з INSEAD, експлойт показав, що людські помилки, а не технічні збої, є найбільш важливими факторами в таких інцидентах. <Інцидент на Bybit, другій у світі криптовалютній біржі за обсягом торгів, сколихнув спільноту, що займається цифровими активами. Зберігаючи активи клієнтів на суму 20 мільярдів доларів, Bybit зіткнулася з серйозною проблемою, коли зловмисник скористався засобами контролю безпеки під час звичайного переказу з офлайнового "холодного" гаманця на "теплий" гаманець, який використовується для щоденних торгів.
Перші повідомлення свідчать про те, що вразливість була пов’язана з вітчизняною реалізацією Web3 з використанням Gnosis Safe – гаманця з декількома підписами, який використовує методи масштабування поза ланцюжком, містить централізовану архітектуру, що модернізується, і користувальницький інтерфейс для підпису. Шкідливий код, розгорнутий з використанням модернізованої архітектури, перетворив те, що виглядало як звичайний переказ, на змінений контракт. Цей інцидент спричинив близько 350 000 запитів на виведення коштів, оскільки користувачі поспішали захистити свої кошти.
Хоча в абсолютному вираженні це порушення, яке оцінюється менш ніж в 0,01% від загальної капіталізації криптовалютного ринку, демонструє, як те, що колись могло бути екзистенційною кризою, стало керованим операційним інцидентом. Оперативне запевнення Bybit, що всі невідшкодовані кошти будуть покриті за рахунок його резервів або партнерських позик, є ще одним прикладом зрілості компанії.
З моменту появи криптовалют основною вразливістю була людська помилка, а не технічні недоліки протоколів блокчейну. Наш більш ніж десятирічний досвід великих криптовалютних зломів показує, що людський фактор завжди домінував. Лише у 2024 році було викрадено приблизно 2,2 мільярда доларів США.
Що вражає, так це те, що ці порушення продовжують відбуватися з однакових причин: організації не можуть захистити системи, тому що вони не визнають відповідальність за них, або покладаються на індивідуальні рішення, які зберігають ілюзію того, що їхні вимоги унікально відрізняються від встановлених рамок безпеки. Така модель винаходу нових підходів до безпеки замість адаптації перевірених методологій увічнює вразливості.
Хоча блокчейн і криптографічні технології довели свою криптографічну стійкість, найслабшою ланкою безпеки є не технологія, а людський фактор, що взаємодіє з нею. Ця закономірність залишається напрочуд послідовною з перших днів існування криптовалют до сьогоднішніх складних інституційних середовищ і…
Ці людські помилки включають неправильне управління приватними ключами, коли неправильне поводження з ними або їх розголошення ставить під загрозу безпеку. Атаки соціальної інженерії залишаються основною загрозою, оскільки хакери маніпулюють жертвами, змушуючи їх розголошувати конфіденційні дані за допомогою фішингу, видавання себе за іншу особу та обману.
Соціальна інженерія.
Рішення для безпеки, орієнтовані на людину
Чисто технічні рішення не можуть вирішити те, що по суті є людською проблемою. Хоча галузь інвестувала мільярди в технологічні заходи безпеки, порівняно мало коштів було вкладено в усунення людських факторів, які постійно призводять до порушень.
Однією з перешкод для ефективного захисту є людський фактор.
Бар’єром на шляху до ефективної безпеки є небажання визнавати право власності та відповідальність за вразливі системи. Організації, які не можуть чітко визначити, що саме вони контролюють, або наполягають на тому, що їхнє середовище занадто унікальне для застосування встановлених принципів безпеки, створюють “сліпі зони”, якими легко користуються зловмисники.
Це свідчить про те, що зловмисники легко можуть скористатися.
Це відображає те, що експерт з безпеки Брюс Шнайер назвав законом безпеки: . Криптовалютний сектор неодноразово потрапляв у цю пастку, часто перебудовуючи системи безпеки з нуля замість того, щоб адаптувати перевірені підходи з традиційної фінансової та інформаційної безпеки.
Зміна парадигми в бік орієнтованого на людину дизайну безпеки має важливе значення. За іронією долі, в той час як традиційні фінанси еволюціонували від однофакторної (пароль) до багатофакторної автентифікації (MFA), ранні криптовалюти спростили безпеку, повернувшись до однофакторної автентифікації за допомогою приватних ключів або ключових фраз під завісою безпеки за допомогою одного лише шифрування. Таке надмірне спрощення було небезпечним і призвело до того, що індустрія почала швидко використовувати різні вразливості та експлойти. Після мільярдних збитків ми прийшли до більш складних підходів до безпеки, на яких зупинилися традиційні фінанси.
Сучасні рішення і регуляторні технології повинні визнавати, що людські помилки неминучі, і розробляти системи, які залишаються безпечними, незважаючи на ці помилки, а не припускати ідеальне дотримання людиною протоколів безпеки. Впровадження цього пов’язане з прямими витратами, а уникнення цього ризикує завдати шкоди репутації.
Механізми безпеки повинні еволюціонувати від простого захисту технічних систем до передбачення людських помилок і стійкості до поширених пасток. Статичні облікові дані, такі як паролі та токени автентифікації, недостатні для захисту від зловмисників, які використовують передбачувану людську поведінку. Системи безпеки повинні інтегрувати виявлення поведінкових аномалій, щоб позначати підозрілі дії.
Приватні ключі повинні бути інтегровані в систему безпеки.
Приватні ключі, що зберігаються в одному легкодоступному місці, становлять великий ризик для безпеки. Розділення зберігання ключів між офлайн і онлайн середовищами зменшує ризик компрометації повного ключа. Наприклад, зберігання частини ключа на апаратному модулі безпеки, а іншої частини – в автономному режимі, підвищує безпеку, оскільки вимагає декількох перевірок для повного доступу, повертаючи принципи багатофакторної автентифікації в криптовалютну безпеку.
Реальні кроки для підходу до безпеки, орієнтованого на людину
Комплексна система безпеки, орієнтована на людину, повинна усунути вразливості криптовалют на декількох рівнях, використовуючи скоординовані підходи в екосистемі, а не ізольовані рішення.
Для індивідуальних користувачів найкращим стандартом залишаються апаратні гаманці. Тому для бірж найкращим варіантом є впровадження практик з традиційних фінансів: стандартні (але регульовані) періоди очікування для великих переказів, багаторівневі системи облікових записів з різними рівнями авторизації, а також контекстно-залежна освіта з безпеки, яка активується в критичних точках прийняття рішень.
Біржі та установи повинні перейти від припущення про бездоганну відповідність користувачів до розробки систем, які передбачають людські помилки. Це починається з явного визнання того, які компоненти і процеси вони контролюють, а отже, несуть відповідальність за їх безпеку.
Відмова або невизначеність у прийнятті рішень.
Заперечення або невизначеність меж відповідальності безпосередньо підриває зусилля з безпеки. Після встановлення такої підзвітності організації повинні впровадити поведінкову аналітику для виявлення аномальних моделей, вимагати багатосторонньої авторизації для передачі високовартісних даних і розгорнути автоматичні “автоматичні вимикачі”, які обмежують потенційну шкоду в разі компрометації.
Крім того, складність інструментів Web3 створює великі можливості для атак. Спрощення та прийняття усталених моделей безпеки зменшить вразливості без шкоди для функціональності.
На галузевому рівні – між інноваціями та безпекою. Інцидент з Bybit демонструє, як криптовалютна екосистема еволюціонувала від своїх крихких ранніх днів до більш стійкої фінансової інфраструктури. Хоча порушення безпеки продовжуються – і, ймовірно, будуть відбуватися завжди – їх характер змінився з екзистенціальних загроз, які можуть зруйнувати довіру до криптовалюти як концепції, на операційні виклики, які вимагають постійних інженерних рішень.
Майбутнє криптобезпеки полягає не в тому, щоб переслідувати нездійсненну мету усунення всіх людських помилок, а в розробці систем, які залишаються безпечними, незважаючи на неминучі людські помилки. Для цього потрібно спочатку визнати, які аспекти системи підпадають під відповідальність організації, а не підтримувати невизначеність, що призводить до прогалин у безпеці.
Визнаючи людські обмеження і створюючи системи, які їх враховують, екосистема криптовалют може продовжувати розвиватися від спекулятивної цікавості до надійної фінансової інфраструктури, а не припускати ідеального дотримання протоколів безпеки.
Ключ до ефективної криптозахисту на цьому зрілому ринку лежить не в більш складних технічних рішеннях, а в більш продуманому, орієнтованому на людину дизайні. Надаючи пріоритет архітектурі безпеки, яка враховує поведінкові реалії та людські обмеження, ми можемо побудувати більш стійку цифрову фінансову екосистему, яка продовжуватиме безпечно функціонувати, коли – а не якщо – трапляються людські помилки.
Примітка: Погляди, висловлені в цій колонці, належать автору і не обов’язково відображають погляди CoinDesk, Inc. або її власників і афілійованих осіб.
Бен Чароенвонг – доцент кафедри фінансів в INSEAD, де він викладає інвестиції та управління активами. Його дослідження зосереджені на фінансовому регулюванні та фінансових технологіях. Він брав участь у дискусії з Джоном Райтером з ChainArgos та Еміром Хрнічем з Азійського інституту цифрових фінансів.