Hakerstwo w Liquid na 320 mln $ stawia tożsamość w centrum uwagi
Atak na Liquid Network i ostatnie wycieki w Trezor oraz u innych podmiotów pokazują, że dane KYC często trudniej odzyskać niż skradzione bitcoiny.
Najważniejsze informacje
- Liquid Network straciła 7 września około 320 mln $ w jednym exploicie.
- Evin McMullen twierdzi, że skradzione bitcoiny czasem nadal można śledzić, ale wyciekłych danych tożsamości prawie nie da się naprawić.
- Ostrzega, że firmy krypto przechowują zbyt dużo danych osobowych, a AI-agents zwiększają ryzyko kolejnych wycieków danych.
Hakerstwo na poziomie około 320 mln $ (277 mln €) w Liquid Network zwraca uwagę nie tylko na Evina McMullena na bezpieczeństwo krypto, lecz przede wszystkim na różnicę między odwracalną kradzieżą on-chain a trwałą szkodą dla tożsamości. CEO i współzałożyciel Billions twierdzi, że skradzione bitcoiny czasem nadal można śledzić lub odzyskać, podczas gdy wyciekłe nazwiska, adresy i numery identyfikacyjne znacznie trudniej naprawić.
Atak na Liquid i wycieki danych
7 września blockchain, który przenosi bitcoiny między giełdami, stracił około 320 mln $ w jednym exploicie. Z kontekstu incydentu wynika, że chodzi o Liquid Network, sidechain Bitcoina należący do Blockstream. Napastnicy mieli przedstawiać się jako tak zwani white-hat hackers i zostawić nawet wiadomość w transakcji Bitcoin, w której wezwali Liquid do zajęcia się konkretną luką.
Jednocześnie Trezor poinformował, że kolejne 67 000 klientów padło ofiarą wycieku nazwisk, numerów telefonów i adresów domowych za pośrednictwem partnera wysyłkowego. W osobnym incydencie na jaw wyszło około 200 000 rekordów, zawierających rządowe numery identyfikacyjne oraz zweryfikowane adresy portfeli. McMullen zwraca też uwagę, że dane adresowe skradzione w 2020 roku producentowi hardware wallet są po latach nadal wykorzystywane w oszustwach bitcoinowych wysyłanych pocztą. Również większy wyciek danych u brokera pokazuje, jak szybko dane tożsamości i adresy portfeli tworzą długotrwałe ryzyko.
Dlaczego tożsamość waży więcej
Sednem jego argumentu jest to, że firmy krypto często zbierają więcej danych tożsamości, niż jest to potrzebne. Giełdy krypto, producenci hardware walletów i on-rampy proszą o dokumenty, adresy i inne wrażliwe dane, przez co stają się atrakcyjnym celem dla atakujących. Według McMullena to problem systemowy, ponieważ zweryfikowaną cechę klienta można potwierdzić także bez przechowywania pełnego dossier tożsamości.
Przeciwstawia temu model, w którym potwierdza się jedynie, że ktoś jest na przykład prawdziwym, objętym sankcjami klientem, bez pozostawiania paszportu na serwerze. Jego zdaniem ma to jeszcze większe znaczenie teraz, gdy coraz więcej oprogramowania zaczyna działać w imieniu ludzi.
AI-agents zwiększają ryzyko
McMullen ostrzega, że rozwój AI-agents może jeszcze bardziej zwiększyć presję na ten model. Jeśli takie agenty będą w przyszłości wykonywać płatności w imieniu ludzi i za każdym razem przenosić pełną tożsamość właściciela, mogą powstać nie pojedyncze, lecz miliardy nowych honeypots. Dla europejskich czytelników krypto dotyka to szerszej dyskusji o prywatności, KYC i sposobie, w jaki giełdy oraz portfele przechowują dane.
Jego końcowy wniosek jest jednoznaczny: skradzione bitcoiny o wartości 320 mln $ (277 mln €) być może jeszcze wrócą, ale adresy, ID i twarze już nie. W ten sposób dyskusja przesuwa się z samego bezpieczeństwa portfeli na pytanie, ile danych osobowych infrastruktura krypto w ogóle powinna przechowywać.
