Безпека криптопродуктів: не лише приватні ключі

За повідомленнями, у нещодавніх інцидентах у Bybit, Bitget і Binance зловмисники скористалися довіреними точками доступу, зокрема пристроями працівників, інструментами сторонніх розробників і внутрішніми системами. Coinbase і Keystone повідомили про витоки даних, які можуть сприяти цільовому шахрайству або підірвати довіру до перевірки за допомогою апаратних пристроїв. Побоювання щодо ланцюга постачання, пов’язані з Ledger, вказують на ризики, що виходять за межі програмного забезпечення та приватних ключів. У новішій статті також згадано підписання офлайн і перевірку пристроїв перед використанням як додаткові заходи захисту. Безпека криптопродуктів залежить від усього ланцюга довіри. Користувачам варто зважати на те, хто контролює приватні ключі, скільки персональних даних збирає продукт і чи проходить його безпека незалежну перевірку та постійне тестування. Некастодіальні гаманці зменшують залежність від кастодіанів, але покладають на користувачів відповідальність за фрази відновлення та перевірку транзакцій. Відкритий код, аудити, програми винагород за виявлення помилок і прозоре повідомлення про інциденти можуть допомогти, але жоден із цих заходів не гарантує безпеки. У статті як приклади наведено некастодіальну модель imToken, аудити та можливість підписувати офлайн. Для трейдерів ці інциденти підкреслюють важливість оцінювання безпеки криптопродуктів у межах усієї системи, а не лише з погляду розкриття ключів.