SDE еп. 41: Автокустодія Bitcoin після ColdCard

У 41-му епізоді Розділяючи гроші та державу Матіас Матей повертається до програми в режимі надзвичайної ситуації, через кілька днів після інциденту з Coldcard, не як аналітик технічного збою, а як той, хто був на місці, допомагаючи наляканим людям: дзвінки, майстер-класи, простір, безкоштовний посібник з налаштування passphrase для вісімнадцяти гаманців.

Його рамка для кризи - це термінове проти важливого: термінове - не втратити кошти — навіть якщо це передбачає тимчасовий перехід через біржу, проти пуристського відображення без KYC — а важливе приходить пізніше, коли є час подумати про апаратне забезпечення, мультипідпис, спадщину. Щодо основної дилеми — скільки складності є занадто багато — він приносить найкращий матеріал епізоду: аргентинський дідусь, який ховав долари під мозаїкою і забрав секрет у могилу. Параноя, яка руйнує майно, не була винайдена автокустодією.

Матіас пропонує конкретний і складний вихід: перехресний аудит між конкурентами — Trezor перевіряє Blockstream і навпаки — з процесами множинного затвердження в стилі стандартів ISO, і визнає в тій же фразі, чому це не відбувається: его та комерційні інтереси.

Найважливіше:

• Жоден з його близьких клієнтів не постраждав; кілька мали Coldcard MK4 з passphrase і виконали міграції або посилили свою конфігурацію.
• Спочатку вважалося, що проблема обмежена пристроями з прошивкою 2021 року, але також були вкрадені кошти з пристроїв MK4.
• Джеймсон Лопп зазначив, що більшість людей не буде перевіряти код компаній і в кінцевому підсумку довіряє.
• Згідно з заявою Coldcard, компанія перевірила свій код через різні служби штучного інтелекту і не виявила вразливість.
• Зловмисник переміщує кошти через міксер, ймовірно, Wasabi.
• Користувач, відомий як Krwed, був вказаний у мережі як координатор CoinJoin, який використовувався, і виступає на підтримку антикорупції та невилучуваності.
• За словами Матіаса, у Coldcard існувала автономія для розробників, щоб завантажувати певні зміни в код без перевірки третіми особами.
• Приблизно місяць тому зламали нотаріус в Румунії і видалили записи про власність на житло; подібні ситуації сталися в Польщі, Греції та Хорватії.
• Після інциденту досягли рекордних піків транзакцій on-chain від користувачів, які виходили з Coldcard або змінювали налаштування.
• Шарль Гійємет з Ledger зазначив, що співвідношення вартості та зусиль для перевірки коду змінюється кардинально, коли це робить автоматизований агент, а не людина.
• Існує Red Team Bitcoin, за участю CEO Anchor Watch та Calle з Cashu, який перевіряє код з використанням штучного інтелекту.
• За словами Calle, ця перевірка виявила близько однієї критичної вразливості на людину за годину в проаналізованих проектах.
• Матіас тестує налаштування мультипідпису, включаючи схеми чотирьох з десяти з апаратними гаманцями.
• В той же тиждень Boltz зазнав тривалого нападу протягом кількох днів і призупинив послуги, перш ніж були скомпрометовані кошти.
• Падіння Boltz мало наслідки для інших послуг в індустрії.
• Ковенанти дозволили б встановити умови витрат, такі як обмеження відправки біткойнів лише на попередньо визначені адреси, що наразі неможливо.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.