Нещодавнє порушення безпеки за близько 1,5 мільярда доларів на BYBIT, другому за величиною у світі біржі криптовалюти шляхом торгівлі обсягом, відправив брижі через спільноту цифрових активів. Маючи 20 мільярдів доларів активів клієнтів, що знаходяться під вартою, Біт зіткнувся з значним викликом, коли зловмисник експлуатував контроль над безпекою під час рутинного переказу з офлайн -“холодного” гаманця до “теплого” гаманця, який використовується для щоденної торгівлі.
Початкові звіти свідчать про те, що вразливість включала в себе домашню реалізацію Web3 за допомогою Gnosis Safe-гаманець багато підписів, який використовує методи масштабування без ланцюгів, містить централізовану оновлювану архітектуру та інтерфейс користувача для підписання. Зловмисний код, розгорнутий за допомогою модернізованої архітектури, зробив те, що було схожим на звичайну передачу, насправді змінений контракт. Інцидент викликав близько 350 000 запитів на відкликання, коли користувачі поспішали забезпечити свої кошти.
Незважаючи на те, що в абсолютному вираженні, це порушення – оцінюється менше 0,01% від загальної ринкової капіталізації ринку криптовалют – демонструє, як те, що колись було б екзистенціальною кризою, стало керованим оперативним інцидентом. Швидка впевненість Бітба, що всі неперевірені кошти будуть покриті через його резерви або позики партнерів, додатково відображають його дозрівання.
З моменту створення криптовалют, людська помилка – не технічні недоліки в протоколах blockchain – постійно була основною вразливістю. Наше дослідження, що вивчає протягом десятиліття основних порушень криптовалюти, показує, що людські фактори завжди домінували. Тільки в 2024 році було викрадено приблизно 2,2 мільярда доларів.
Що вражає те, що ці порушення продовжують відбуватися з подібних причин: організації не забезпечують систем, оскільки вони не будуть явно нести відповідальність за них, або покладаються на розроблені на замовлення рішення, які зберігають ілюзію, що їхні вимоги однозначно відрізняються від встановлених рамок безпеки. Ця закономірність винахідливості підходів до безпеки, а не адаптації перевірених методологій, що продовжує вразливості.
Хоча блокчейн та криптографічні технології виявили криптографічно надійні, найслабшим зв’язком у безпеці є не технологія, а людський елемент, що взаємодіє з ним. Ця закономірність залишається надзвичайно послідовною від найдавніших днів криптовалюти до сьогоднішнього складного інституційного середовища, і перегукується з кібербезпекою в інших – традиційних – доменах.
Ці людські помилки включають безгосподарне управління приватними клавішами, де програш, неправильне поводження або викриття приватних ключів компрометує безпеку. Атаки соціальної інженерії залишаються головною загрозою, оскільки хакери маніпулюють жертвами, щоб розголошувати конфіденційні дані за допомогою фішингу, видання себе та обману.
Рішення безпеки, орієнтованої на людину
Суто технічні рішення не можуть вирішити те, що принципово є людською проблемою. Незважаючи на те, що галузь інвестувала мільярди в заходи технологічної безпеки, порівняно мало вкладено у вирішення людських факторів, які послідовно дозволяють порушувати.
Бар'єр для ефективної безпеки – небажання визнати право власності та відповідальність за вразливі системи. Організації, які не зможуть чітко окреслити те, що вони контролюють – або наполягають, що їхнє середовище є занадто унікальним для встановлених принципів безпеки, які слід застосовувати – створюють сліпі місця, які зловмисники легко експлуатують.
Це відображає те, що експерт з безпеки Брюс Шнеєр назвав закон безпеки: системи, розроблені ізольовано командами, переконані у своїй унікальності, майже незмінно містять критичні вразливості, які встановили б практику безпеки. Сектор криптовалют неодноразово потрапляв у цю пастку, часто відновлюючи рамки безпеки з нуля, а не адаптуючи перевірені підходи з традиційних фінансів та інформаційної безпеки.
Парадигма перехід до дизайну безпеки, орієнтованої на людину, є важливим. За іронією долі, хоча традиційні фінанси розвивалися від однофакторних (пароля) до багатофакторної автентифікації (MFA), ранньої спрощення криптовалюти, спрощеної безпеки до однофакторної автентифікації через приватні клавіші або насіннєві фрази під завісою безпеки через шифрування самостійно. Це надмірне спрощення було небезпечним, що призвело до швидкості проведення галузі різних вразливостей та подвигів. Мільярди доларів пізніше ми доходимо до більш досконалих підходів до безпеки, на які влаштували традиційні фінанси.
Сучасні рішення та регуляторні технології повинні визнати, що людські помилки є неминучими, а проектні системи, які залишаються захищеними, незважаючи на ці помилки, а не припускають ідеальну дотримання людських протоколів безпеки. Важливо, що технологія не змінює фундаментальних стимулів. Реалізація його має прямі витрати, і уникнення його ризику репутаційної шкоди.
Механізми безпеки повинні розвиватися за межі лише захисту технічних систем до передбачення помилок людини та стійкого проти загальних підводних каменів. Статичні дані, такі як паролі та жетони аутентифікації, недостатньо проти зловмисників, які експлуатують передбачувану поведінку людини. Системи безпеки повинні інтегрувати виявлення поведінкової аномалії для прапорів підозрілої діяльності.
Приватні ключі, що зберігаються в одному, легкодоступному місці, становлять великий ризик безпеки. Розбиття ключових зберігання між офлайн та онлайн-середовищами зменшує компроміс із повним ключем. Наприклад, зберігання частини ключового модуля безпеки апаратної безпеки, зберігаючи іншу частину в автономному режимі, підвищує безпеку, вимагаючи декількох перевірок для повного доступу-введення принципів багатофакторної аутентифікації до безпеки криптовалюти.
Діючі кроки для підходу, орієнтованого на людину
Комплексна рамка безпеки, орієнтована на людину, повинна вирішувати вразливості криптовалют на декількох рівнях, з скоординованими підходами в екосистемі, а не ізольованими рішеннями.
Для окремих користувачів рішення з апаратного гаманця залишаються найкращим стандартом. Однак багато користувачів віддають перевагу зручності над відповідальністю безпеки, тому другий найкращий-для обміну для впровадження практик традиційних фінансів: за замовчуванням (але регульованим) періодами очікування для великих переказів, багаторівневих систем облікових записів з різними рівнями авторизації та контекстним залежним від безпеки, що активується в критичних точках прийняття рішень.
Біржі та установи повинні перейти від ідеального відповідності користувачів до проектування систем, що передбачають помилки людини. Це починається з чіткого визнання, які компоненти та процеси вони контролюють, і тому відповідають за забезпечення.
Відмова або неоднозначність щодо меж відповідальності безпосередньо підриває зусилля щодо безпеки. Після встановлення цієї підзвітності організації повинні впроваджувати аналітику поведінки для виявлення аномальних моделей, потребують багатостороннього дозволу на високоцінні перекази та розгорнути автоматичні «вимикачі», які обмежують потенційну шкоду, якщо вони порушені.
Крім того, складність інструментів Web3 створює великі атакові поверхні. Спрощення та прийняття встановлених моделей безпеки зменшило б вразливості без жертви функціональності.
На галузевому рівні регулятори та лідери можуть встановлювати стандартизовані вимоги до людських факторів у сертифікатах безпеки, але між інноваціями та безпекою існують компроміси. Інцидент Bybit ілюструє, як екосистема криптовалюти перетворилася з крихких ранніх днів до більш стійкої фінансової інфраструктури. Хоча порушення безпеки продовжуються – і, ймовірно, завжди будуть – їхня природа змінилася від екзистенційних загроз, які могли б знищити довіру до криптовалюти як концепції оперативних викликів, які потребують постійних інженерних рішень.
Майбутнє криптозахисту полягає не в тому, щоб досягти неможливої мети усунути всі людські помилки, а в розробці систем, які залишаються безпечними, незважаючи на неминучі людські помилки. Це вимагає спочатку визнати, які аспекти системи підпадають під відповідальність організації, а не підтримка неоднозначності, що призводить до прогалин у безпеці.
Визнаючи людські обмеження та будівельні системи, які їх вміщують, екосистема криптовалют може продовжувати розвиватися від спекулятивної цікавості до надійної фінансової інфраструктури, а не припускаючи ідеального дотримання протоколів безпеки.
Ключ до ефективної криптозахисту на цьому дозріванні ринку полягає не в більш складних технічних рішень, а в більш продуманому дизайні, орієнтованому на людину. Визначаючи пріоритетність архітектури безпеки, які враховують поведінкові реалії та людські обмеження, ми можемо побудувати більш стійку цифрову фінансову екосистему, яка продовжує надійно функціонувати, коли – не якщо – людські помилки виникають.
