Trezor data breach impact now reaches 81,000 customers

Osamdeset i jedna tisuća ljudi. To je broj korisnika hardverskih novčanika za kriptovalute čiji su podatci procurili u nizu incidenata koji su počeli u kolovozu, a čiji se puni opseg, eto, tek sada razotkriva. Osamdeset i jedna tisuća ljudi koji su mislili da su napravili sve kako treba — kupili su fizički uređaj, sigurnosni ključ, komad hardvera koji bi trebao biti neprobojna tvrđava za njihov digitalni novac. A onda je procurila adresa za dostavu.

Da, adresa. U vrijeme kad kompanije prikupljaju biometriju, povijest pregledavanja, lokacije, navike kupovine, političke preferencije i tko zna što još, ispada da je najvrjednija roba na crnom tržištu ipak ona stara dobra adresa stanovanja. Jer podatak o tome da netko posjeduje hardverski novčanik s kriptovalutama u vrijednosti koja opravdava kupnju tog istog uređaja, povezan s kućnom adresom, nije samo povreda privatnosti. To je, u najdoslovnijem smislu riječi, pozivnica za fizički obračun.

Cijeli cirkus dogodio se preko dostavnog partnera. Kompanija koja proizvodi sefove za digitalni novac povjerila je fizičku distribuciju trećoj strani, a ta treća strana, eto, nije bila dorasla zadatku. Nije bila hakirana sama Trezorova baza, nego sustav logističke kompanije ShipMonk. Kao da ste izgradili sef od titana, a onda ključ od njega ostavili kod susjeda koji drži vrata otključana jer "kod nas se ništa ne događa". Koji kurac onda vrijedi titan?

Prvi udarac dogodio se još u siječnju, kada je procurio mailing popis od četrnaest tisuća korisnika. Sada se ispostavlja da je kolovoški incident kod logističara zahvatio dodatnih šezdeset i sedam tisuća Amerikanaca. Zbrojite i dobijete brojku koja više nije "manji incident", nego "sistemski problem". A najljepši dio cijele priče? Kompanija je korisnike obavijestila o prvom valu u siječnju, a o ovom proširenom opsegu tek sada, mjesecima kasnije. Brzina reakcije dostojna administrativnog aparata koji čeka da netko triput pošalje zahtjev u papirnatom obliku.

Zanimljivo je kako industrija koja je izgrađena na paranoji, decentralizaciji i nepovjerenju prema posrednicima uvijek iznova posrće na istim mjestima. Ljudi su se odrekli banaka jer banke znaju previše o njima, pa su svoje povjerenje prenijeli na tehnologiju koja bi trebala eliminirati potrebu za povjerenjem. A onda je netko morao fizički poslati taj komad tehnologije do vrata kupca, i odjednom smo opet u svijetu kurira, skladišta i logističkih lanaca. Digitalna revolucija, puna brzina, zaustavljena na kućnom pragu.

Pacijent pokazuje sve simptome kroničnog samozavaravanja s komplikacijama tehnološkog optimizma. Preporučujem hitnu intervenciju stvarnosti, ali prognoza je loša — previše je novca u igri da bi itko ozbiljno posumnjao u temelje. Jer, da budemo pošteni, problem nije samo u Trezoru ili ShipMonku. Problem je u čitavom ekosustavu koji prodaje iluziju potpune sigurnosti u svijetu koji je inherentno nesiguran. Svatko tko je ikada držao servere zna da je sigurnost proces, a ne stanje. Ali to se ne prodaje dobro. "Kupite naš uređaj i možete spavati mirno" prodaje se puno bolje od "kupite naš uređaj i bit ćete malo sigurniji nego prije, ali ništa nije zajamčeno".

A sada dolazi onaj dio koji boli više od same povrede podataka. Američki korisnici suočeni su s povećanim rizikom od fizičkih napada, jer je kombinacija "poznata adresa" i "poznato posjedovanje kriptoimovine" eksplozivna mješavina. Ovo nije samo krađa identiteta ili neželjena pošta. Ovo je stvar koja može završiti loše po fizičko zdravlje. I kompanija je to prepoznala u svojoj obavijesti, što je možda i najgore — jer to znači da su svjesni ozbiljnosti situacije, ali su svejedno trebali mjesecima da objave puni opseg.

Sjetimo se svih onih savjeta koje smo dobili tijekom godina. Ne držite sve na jednoj burzi. Koristite hardverski novčanik. Čuvajte seed frazu pod ključem. Napravite sigurnosnu kopiju. I sve je to točno, sve je to pametno, a opet — na kraju dana, netko u logističkoj kompaniji ostavi vrata otvorena i sve se raspadne. Kao da trenirate za maraton godinama, a onda vas pregazi auto na pješačkom prijelazu jer je vozač gledao u mobitel. Nije fer. Ali svijet nikada nije obećavao da će biti fer.

Možda je najveća ironija u tome što je cijela kripto industrija rođena iz želje za slobodom od posrednika, iz bunta protiv institucija koje čuvaju naše podatke u centraliziranim bazama koje su metа stalnih napada. I eto nas sada, tridesetak godina kasnije, s istim problemom, samo preseljenim u drugu fazu lanca vrijednosti. Banke su zamijenjene burzama, burze hardverskim novčanicima, a hardverski novčanici opet ovise o fizičkoj dostavi koju obavlja treća strana s vlastitim sigurnosnim propustima.

Pitanje koje si postavljam, a koje nitko u industriji ne želi čuti, glasi: ako je cijela poanta decentralizacije uklanjanje točaka kvara, zašto lanac i dalje ima toliko karika koje mogu puknuti? I zašto svaka od tih karika tvrdi da je ona ona jaka, dok se sve ostale raspadaju? Odgovor je, naravno, trivijalan — jer je lakše prodavati sigurnost nego je isporučiti. I jer je jeftinije obećati nego ispuniti.

Neki će reći da je ovo samo još jedan incident u dugom nizu, da će industrija preživjeti, da će korisnici naučiti lekciju. Možda. Ali svaki ovakav incident polako nagriza ono što je jedino što kripto industrija stvarno ima — povjerenje. Ne povjerenje u tehnologiju, koja uglavnom radi kako treba, nego povjerenje u ljude koji stoje iza te tehnologije. A to povjerenje se, za razliku od blockchaina, ne može jednostavno replicirati na tisuću čvorova. Jednom izgubljeno, teško se vraća.

I tako smo opet na početku. Osamdeset i jedna tisuća ljudi, jedna kompromitirana logistička kompanija, jedna industrija koja se pravi da je problem riješen jer je poslala obavijest e-poštom. U međuvremenu, negdje na crnom tržištu, netko prodaje excel tablicu s adresama ljudi koji drže kriptovalute. I za razliku od blockchaina, ta se tablica ne može poništiti. Jednom objavljena, zauvijek je tu. Kao i sve ostalo što jednom pustite iz svojih ruku u ovom digitalnom svijetu koji smo sami sebi sagradili. Budućnost je stigla. Donijela je račun za dostavu.

Izvor: bleepingcomputer.com