Google anticipa un sistema di sicurezza per la custodia delle criptovalute in vista del lancio nel 2027

Google ha svelato piani per un servizio di sicurezza delle criptovalute che distribuisce il controllo delle chiavi private tra ambienti di calcolo separati, puntando a una disponibilità commerciale all'inizio del 2027, mentre le istituzioni finanziarie cercano una protezione più forte per gli asset digitali.

Riepilogo

• Google sta anticipando un servizio di sicurezza per criptovalute istituzionali, con disponibilità commerciale prevista per l'inizio del 2027.
• Alphabet, la società madre di Google, utilizza apparentemente la tecnologia per proteggere asset digitali non specificati su Ethereum e Solana.
• MPC distribuisce l'autorità di firma delle transazioni tra ambienti separati invece di concentrare il controllo in una sola chiave privata.
• Il servizio proposto da Google competerebbe con fornitori di sicurezza istituzionali affermati, tra cui Fireblocks e Fordefi.
• Google prevede di supportare la firma ECDSA e Ed25519, mentre gli aggiornamenti post-quantum non hanno una data di rilascio annunciata.

Google Multi-Party Compute è attualmente in fase di test privato con diverse importanti istituzioni finanziarie in vista della sua presentazione al simposio inaugurale sugli asset digitali dell'azienda a New York, secondo quanto riportato da CoinDesk. Alphabet ha iniziato a utilizzare la tecnologia per proteggere i propri asset digitali su Ethereum e Solana.

Nel frattempo, l'azienda non ha nominato le istituzioni finanziarie che stanno testando il servizio né ha rivelato quali asset Alphabet detiene attraverso il sistema. I prezzi rimangono non disponibili, mentre il lancio commerciale previsto dipende dal completamento del programma di anteprima.

Google introduce la sicurezza MPC per la custodia delle criptovalute istituzionali

Google Multi-Party Compute utilizza tecniche crittografiche che dividono il controllo di una chiave privata tra diversi partecipanti indipendenti. Le parti autorizzate collaborano per firmare le transazioni blockchain senza assemblare l'intera chiave privata in un'unica posizione, riducendo la dipendenza da qualsiasi singolo dispositivo o amministratore.

Secondo l'architettura proposta da Google, le istituzioni possono distribuire le quote di firma tra le proprie attrezzature, Google Cloud e fornitori di cloud concorrenti. Una banca potrebbe richiedere approvazioni da due di tre partecipanti o cinque di sette prima di autorizzare un trasferimento.

Il servizio include politiche di transazione progettate per controllare le richieste prima che inizi la firma. Le istituzioni possono limitare gli indirizzi di destinazione, imporre limiti di trasferimento o richiedere approvazioni aggiuntive, con tali controlli che operano all'interno dell'ambiente Google Confidential Space.

In precedenza, Google aveva pubblicato linee guida tecniche nell'aprile 2023 spiegando come le organizzazioni potessero costruire sistemi di firma distribuita utilizzando Confidential Space. Il prodotto proposto combina capacità simili con politiche di firma e strumenti di recupero in un servizio dedicato.

I prodotti esistenti Google Cloud Key Management Service e Cloud HSM già proteggono le chiavi crittografiche. La nuova offerta si concentra specificamente sui requisiti di autorizzazione e recupero degli asset digitali, dove una transazione blockchain completata generalmente non può essere annullata.

Le violazioni delle chiavi private espongono le debolezze nell'infrastruttura delle criptovalute

Il servizio pianificato da Google arriva mentre le credenziali compromesse rimangono una fonte persistente di perdite di criptovalute. Chainalysis ha stimato che le compromissioni delle chiavi private hanno rappresentato il 43,8% delle criptovalute rubate durante il 2024.

Un incidente di giugno che ha coinvolto Humanity Protocol ha illustrato come più credenziali di firma possano diventare vulnerabili attraverso un singolo dispositivo compromesso. Come riportato da crypto.news dopo l'indagine, un attaccante ha ottenuto sette chiavi private memorizzate sul computer di uno sviluppatore e le ha utilizzate per accedere ai controlli amministrativi.

Le credenziali rubate hanno consentito transazioni non autorizzate e modifiche ai contratti su Ethereum e BNB Smart Chain. Humanity Protocol ha dichiarato che l'attacco ha coinvolto firme valide generate utilizzando chiavi compromesse, non un difetto sottostante nei suoi contratti blockchain.

L'approccio di Google cerca di limitare tale concentrazione di autorità di firma. La sua sicurezza dipende ancora da come i clienti separano le loro quote di chiave, proteggono gli amministratori e gestiscono le politiche di approvazione.

Un esame di ottobre dei controlli di custodia delle criptovalute istituzionali ha spiegato che distribuire le credenziali non elimina il rischio operativo se diversi partecipanti alla firma condividono gli stessi privilegi amministrativi o sistemi di recupero.

Google entra nel mercato servito da fornitori di custodia specializzati

Il servizio proposto avvicina l'infrastruttura cloud di Google ai fornitori di sicurezza degli asset digitali già affermati, tra cui Fireblocks, Fordefi e BitGo. Le istituzioni utilizzano già piattaforme specializzate per gestire portafogli, controllare le approvazioni delle transazioni e mantenere registri dei movimenti degli asset.

Google sta puntando alle banche che desiderano mantenere il controllo diretto delle proprie operazioni di custodia pur utilizzando tecnologia esterna. Il suo servizio fornirebbe un'infrastruttura di firma senza richiedere a un'istituzione finanziaria di trasferire la proprietà delle proprie chiavi private a Google.

A settembre, UniCredit stava esplorando l'infrastruttura di custodia e intermediazione degli asset digitali mentre le banche europee sviluppavano servizi per criptovalute e titoli tokenizzati. Fireblocks ha fornito separatamente tecnologia per portafogli e tokenizzazione al consorzio bancario Qivalis.

Google non ha rivelato parametri di prestazione che confrontino il suo sistema proposto con i prodotti commerciali esistenti. Le identità dei suoi partner di test rimangono riservate, lasciando sconosciuta la scala della partecipazione iniziale delle istituzioni.

Le minacce dell'IA sollevano interrogativi sulla sicurezza futura dei portafogli

Google sta posizionando il suo servizio in parte contro gli attacchi informatici che coinvolgono strumenti di IA sempre più capaci. Chainalysis ha riportato che le truffe associate ai fornitori di strumenti di IA hanno generato proventi medi di 3,2 milioni di dollari per operazione nel 2025, rispetto a 719.000 dollari per le truffe senza tali collegamenti.

Il confronto misura i proventi associati a diversi gruppi di truffe. Non stabilisce che l'IA abbia causato le perdite più elevate o che l'MPC avrebbe potuto prevenire tali schemi.

Il ricercatore di Ethereum Justin Drake ha avvertito riguardo ai possibili progressi dell'IA che potrebbero eventualmente indebolire le assunzioni crittografiche che proteggono i portafogli blockchain. Nessun sistema di IA dimostrato pubblicamente può attualmente derivare chiavi private ordinarie di Bitcoin o Ethereum rompendo i loro algoritmi di firma sottostanti.

Google ha dichiarato che il servizio proposto supporterà la firma ECDSA e Ed25519 alla disponibilità generale. La sua architettura è progettata per accogliere futuri aggiornamenti di crittografia post-quantistica, sebbene l'azienda non abbia annunciato un calendario per l'aggiunta di tali metodi di firma.

L'azienda non ha rivelato una data di rilascio commerciale precisa oltre all'inizio del 2027 né ha identificato le prime istituzioni che si prevede adotteranno il servizio dopo i test privati.