Bezpieczeństwo kryptowalut w tej chwili wykracza poza portfel aż do adresu klienta

Francuska rodzina była godzinami związana przez napastników polujących na ich kryptoaktywa. Policja nie ujawniła, jak sprawcy wybrali dom – i w tej luce kryje się problem branży związany z danymi.

Około godziny 4:00 rano 20 września czterech zamaskowanych mężczyzn wtargnęło do domu rodzinnego w północnej Francji. Związali rodziców i dwoje dzieci czarną taśmą i zmusili ojca, by podał kody dostępu oraz przelał 40 000 euro.

Ojciec pracuje na etacie jako informatyk w branży krypto. Prokuratura dotąd nie wyjaśniła, w jaki sposób napastnicy go zidentyfikowali.

Osobny incydent w tym samym miesiącu pokazał, jak łatwo takie informacje mogą wyciekać. 13 sierpnia producent portfeli sprzętowych Trezor poinformował 13 689 klientów, iż naruszenie u jednego z dostawców przesyłek ujawniło wrażliwe dane zamówień. Liczba ta wzrosła do ponad 80 000.

Nic nie łączy tych dwóch spraw i nie musi łączyć. Razem pokazują tę samą ekspozycję z obu stron: bazę danych wiążącą adres domowy z potwierdzeniem posiadania kryptoaktywa oraz skutki działania po połączeniu tych informacji.

BeInCrypto rozmawiało z ekspertami firm Hacken i Zama, by dowiedzieć się, za co dostawca odpowiada wobec klientów, gdy podwykonawca ujawnił ich tożsamość, których danych branża powinna już nie przechowywać oraz jak klient może rozpoznać, czy powiernik zawiedzie pod presją.

Czego nie uwzględnia komunikat „Brak naruszenia kluczy”

Kiedy Trezor poinformował o naruszeniu w sierpniu, podkreślał, do czego nie doszło. Ich własne systemy nie zostały naruszone, a urządzenia są bezpieczne.

Te zapewnienia dotyczyły ryzyka, przed którym portfele sprzętowe mają chronić: kradzieży środków.

Jednak Dmytro Yasmanovych, szef GRC i operacji bezpieczeństwa w Hacken, wyjaśnił, iż brak wykradzionego klucza prywatnego nie oznacza, iż klienci są bezpieczni.

Ktoś, kto zna twoje imię, adres domowy i wie, iż posiadasz portfel sprzętowy, ma informacje, które może wykorzystać przeciwko tobie. Kompromitację klucza da się wyeliminować w kilka minut. Adresu domowego już nie da się zmienić tak łatwo.

Jego zdaniem to właśnie dlatego informacje przechowywane przez firmy kurierskie i innych podwykonawców są równie ważne, jak bezpieczeństwo samego portfela. jeżeli baza danych łączy posiadacza krypto z adresem domowym, skutki mogą dotyczyć całej rodziny – podkreśla Yasmanovych.

Dostawca może uniemożliwić dostęp do środków, a jednocześnie narazić klienta w dużo bardziej osobisty sposób. najważniejsze jest, czy jego zabezpieczenia chronią klienta, a nie tylko portfel.

Francuskie liczby ostrzegają

Francja pokazuje, jak to wygląda w praktyce. Minister spraw wewnętrznych Laurent Nuñez powiedział pod koniec czerwca, iż władze odnotowały ponad 70 brutalnych zdarzeń związanych z krypto od stycznia.

Chainalysis, który liczył publicznie zgłoszone przypadki, odnotował 30 we Francji do połowy 2026 roku, wobec 19 w całym 2025 roku.

Firma uznaje wyciek danych za najbardziej prawdopodobną przyczynę. Wskazuje na sprawę z 2024 roku, gdy francuski urzędnik podatkowy miał ukraść akta zamożnych posiadaczy kryptowalut – wraz z adresami i numerami telefonów – i sprzedać je przestępcom.

Ekspozycja rodzin, o której mówi Yasmanovych, widoczna jest w tych samych danych. We Francji ponad 40% incydentów dotyczyło kogoś z rodziny, a nie samego posiadacza. W 2026 roku włamania do domów stanowiły już 37% udokumentowanych ataków, wobec 26% w 2023 roku.

Chainalysis oszacował, iż na świecie brutalne ataki na posiadaczy przyniosły utratę ponad 30 mln USD w pierwszym półroczu. Dotyczy to tylko przypadków, w których właściciel przekazał środki.

W raporcie oszacowano łączną ekspozycję na poziomie 107 mln USD – razem z okupami, zablokowanymi transferami i odzyskanymi środkami – przy czym choćby ta liczba dotyczy wyłącznie zgłoszonych przypadków.

Skradzione lub zagrożone krypto w brutalnych atakach, 2017–2026. Źródło: Chainalysis

Dane tworzące cel

Te ataki potrzebują celu, a cel może pochodzić z informacji, które ktoś przechowuje. To sprawia, iż przechowywanie danych staje się kolejnym problemem bezpieczeństwa w branży krypto.

Firmy mogą potrzebować danych klienta do konkretnej transakcji czy usługi. Jednak przetrzymywanie ich przez wiele lat rodzi kolejne ryzyko, jeżeli te dane wyciekną później. Których więc informacji branża powinna przestać zbierać lub usuwać szybciej?

Yasmanovych wskazuje na numer telefonu. Wyjaśnia, iż firma może go potrzebować w celu ustalenia dostawy, ale nie ma powodu, żeby trzymać go w bazie klientów przez lata.

Jeśli natomiast baza wycieknie, taki numer posłuży przestępcom do phishingu, fałszywych połączeń czy ataków SIM-swap.

Usunąłbym powiązanie między zamówieniem a adresem dostawy, gdy tylko przesyłka zostanie doręczona i nie będzie ku temu podstaw biznesowych. Firma może zachować dane potrzebne do podatków czy gwarancji, nie przechowując jednak pełnych rekordów o adresach dostaw wszystkich zamówień.

Wskazał jeszcze jeden problem: usuwanie danych często opiera się jedynie na zapewnieniu, iż zostały one usunięte.

„W jednym przypadku firma miała regułę retencji na dziewięćdziesiąt dni oraz pisemne potwierdzenie od partnera logistycznego, iż starsze dane zostały usunięte. Lata danych przez cały czas znajdowały się w ich systemach. Dlatego potrzebuję dowodu usunięcia, a nie tylko polityki retencji. jeżeli nikt nie sprawdza, czy reguła została wykonana, sama reguła nie chroni.”

Ta sama odpowiedzialność dotyczy tego, co dzieje się, gdy dane klienta wyciekną. Według Yasmanovycha, oprócz ostrzegawczego maila, dostawca powinien dokładnie wyjaśnić, jakie dane wyciekły.

„Wyciekanie miasta to jedno. Nazwisko, adres domowy i dowód posiadania kryptowalut tworzą zupełnie inne ryzyko… Osoba, której adres wyciekł, może potrzebować pomocy przy organizacji przyszłych przesyłek bez podawania ponownie tego adresu… Powinien być wyznaczony bezpośredni kontakt – osoba lub zespół – gdy sytuacja wymaga więcej niż standardowe FAQ.”

Wspomniał, iż dostawca powinien także wyjaśnić, dlaczego doszło do wycieku. jeżeli usługodawca przechowuje dane dłużej niż to ustalono, klienci powinni dowiedzieć się, jak tego się uniknie i jak w przyszłości będzie się weryfikować usuwanie danych.

„Ostrzegawczy e-mail to punkt wyjścia. Ludzie muszą wiedzieć, co się stało, co mogą zrobić teraz i czy firma faktycznie naprawiła wadliwy proces.”

Możemy porównać reakcję firmy Trezor na swój własny wyciek z tą listą. Firma poinformowała każdego z poszkodowanych klientów osobno, wskazała czy wyciek był pełny, czy częściowy, oraz ostrzegła przed phishingiem i – we wrześniu – ryzykiem fizycznym.

Zaoferowała także opcję Anonimowej Dostawy z odbiorem w paczkomacie, nieoznakowanym opakowaniem i automatycznym usunięciem identyfikatorów do wysyłki.

Czy technologia prywatności może zlikwidować lukę?

Problem nie dotyczy jedynie danych przechowywanych off-chain. Gdy coraz więcej aktywności finansowych trafia na publiczne blockchainy, same transakcje tworzą kolejną warstwę zagrożenia.

Dyrektor generalny Zama i współzałożyciel dr Rand Hindi powiedział, iż przypadek Trezora obnaża problem retencji danych poza blockchainem.

Wskazywał, iż wraz z pojawieniem się dużych graczy instytucjonalnych na blockchainie, poufność on-chain staje się warunkiem uczestnictwa, a nie tylko funkcją. Hindi cytował szacunki BCG [raport], według których realne aktywa cyfrowe mogą stanowić około 16% globalnych aktywów inwestycyjnych do 2035 roku.

Podkreślił, iż regulowane instytucje nie mogą działać na publicznych ledgerach, gdzie każda pozycja i kontrahent są widoczni. Jako rozwiązanie wskazał na w pełni homomorficzne szyfrowanie (FHE), które zapewnia zgodność bez kompromisów w bezpieczeństwie.

„FHE umożliwia obliczenia bezpośrednio na zaszyfrowanych danych – transfer się odbywa, prog został sprawdzony, uprawnienia zweryfikowane – wszystko na zaszyfrowanym tekście. Żaden walidator ani eksplorator bloków nie zobaczy salda czy wrażliwych informacji. Gdy regulator żąda dostępu, odblokowanie następuje przez wyznaczoną liczbę posiadaczy kluczy (zespół compliance) na poziomie protokołu, a nie polityki.”

Technologia prywatności ogranicza także ilość informacji, jaką firma musi ujawniać bez utraty możliwości weryfikacji.

Yasmanovych twierdzi, iż dowody zerowej wiedzy pozwalają giełdzie wykazać, iż posiada wystarczające aktywa, by pokryć depozyty klientów, bez publikowania salda każdego użytkownika.

Giełda może więc udostępnić dowód swoich całościowych pozycji bez ujawniania danych poszczególnych kont. Ekspert podkreślił, iż nie oznacza to całkowitej niedostępności tych informacji.

W zależności od konstrukcji systemu uprawniony kontroler może w razie potrzeby przeanalizować dowody i powiązane dane w ramach audytu lub procesu prawnego.

Wskazał, iż selektywne ujawnianie działa podobnie przy przekazywaniu danych tożsamości. Usługa może potwierdzić spełnienie danego wymogu bez pobierania pełnego dokumentu czy profilu klienta.

„Żadne z tych podejść nie rozwiązuje problemu danych osobowych przechowywanych poza blockchainem. Kwoty transakcji, czas i powiązania portfeli mogą być widoczne, a dokumenty tożsamości i adresy zamieszkania przez cały czas zostają w bazach giełd, dostawców i operatorów płatności.”

Yasmanovych wspomniał, iż lukę można łatwo zrozumieć. Firma może zapewnić prywatność samej transakcji, pozostawiając poza ochroną dane potrzebne do realizacji i wsparcia tej transakcji.

Gdy dane uwierzytelniające są prawdziwe, a klient nie jest wolny

Różnica między prywatnością transakcji a bezpieczeństwem osobistym nabiera znaczenia zwłaszcza wtedy, gdy klient zostaje zmuszony do autoryzowania przelewu. Dostawca usług przechowalni może mieć bezpieczną infrastrukturę i silne zabezpieczenia kont.

Jednak te zabezpieczenia stają przed innym wyzwaniem, gdy klient działa pod przymusem i przekazuje swoje środki pod presją.

Yasmanovych zaznacza, iż audyt techniczny może wykazać zgodność systemu z założeniami. Nie wyjaśnia jednak, co się stanie, gdy ktoś wymusza przekazanie aktywów.

„Przetestowałbym procedurę wypłaty w warunkach presji. Na przykład klient z ważnymi danymi logowania zleca duży transfer, będąc zmuszanym przez kogoś innego. Czy dostawca potrafi rozpoznać sytuację, wstrzymać wypłatę lub włączyć kogoś kolejnego przed opuszczeniem pieniędzy?”

Jego wymagane zabezpieczenia to drugi upoważniony użytkownik i obowiązkowa blokada czasowa dla dużych przelewów, których klient nie może ominąć w tej samej sesji. Yasmanovych podkreślił, iż chodzi o szansę na reakcję dostawcy, gdy poprawne logowanie nie oznacza już dobrowolnej decyzji klienta.

„Poprosiłbym też o zobaczenie tego procesu na żywo. Polityka może wymagać drugiego potwierdzenia, ale nie mówi, czy to zatwierdzenie jest rzeczywiście niezależne, czy też obsługa ma sposób, by je obejść. Test praktyczny wykryje te słabości dużo szybciej niż kolejny czysty audyt techniczny.”

System przechowalni może działać zgodnie z założeniami, a i tak nie chronić osoby korzystającej z niego. Ostatni etap zawsze zależy od człowieka, a człowieka można zastraszyć.

Gdzie dziś leży odpowiedzialność

Ataki we Francji pokazują, iż zagrożenia związane z krypto wykraczają poza przejęty portfel czy skradziony klucz prywatny. Imię i nazwisko klienta, adres, numer telefonu i potwierdzenie własności stają się cenne, gdy znajdują się w jednej bazie danych.

Technologie chroniące prywatność mogą ograniczyć to, co pojawia się w sieci blockchain, ale nie chronią danych, które firmy i ich dostawcy przechowują gdzie indziej.

To poszerza zakres odpowiedzialności dostawcy. Obejmuje to sposób przechowywania i transferu aktywów, zbieranie danych klientów, czas ich dostępności oraz konsekwencje zmuszenia kogoś do użycia własnych danych dostępowych. Klucze są częścią tego łańcucha, który branża już umie chronić.

BeInCrypto Polska - Bezpieczeństwo kryptowalut w tej chwili wykracza poza portfel aż do adresu klienta