Безопасность криптопродуктов: не только приватные ключи

По сообщениям, недавние инциденты в Bybit, Bitget и Binance были связаны с использованием доверенных точек доступа, включая устройства сотрудников, сторонние инструменты и внутренние системы. Coinbase и Keystone сообщили об утечках, которые могут способствовать целевому мошенничеству или подорвать доверие к проверке с помощью аппаратных устройств, а опасения по поводу цепочки поставок, связанные с Ledger, указывают на риски, выходящие за рамки программного обеспечения и приватных ключей. В более свежем сообщении также говорится, что дополнительную защиту могут обеспечить подписание транзакций офлайн и проверка устройств перед использованием. Безопасность криптопродуктов зависит от всей цепочки доверия. Пользователям следует выяснять, кто контролирует приватные ключи, сколько персональных данных собирает продукт и проходит ли его безопасность независимую проверку и постоянное тестирование. Некастодиальные кошельки снижают зависимость от кастодианов, но возлагают на пользователей ответственность за фразы восстановления и проверку транзакций. Открытый исходный код, аудиты, программы вознаграждения за обнаружение ошибок и прозрачное раскрытие информации об инцидентах могут помочь, но ни одна мера не гарантирует безопасность. В качестве примеров в статье приводятся некастодиальная модель imToken, аудиты и возможность подписывать транзакции офлайн. Для трейдеров эти инциденты подчёркивают важность оценки безопасности криптопродуктов на уровне всей системы, а не только риска раскрытия ключей.