Francuska rodzina była przez wiele godzin skrępowana przez napastników, którzy chcieli zdobyć jej kryptowaluty. Policja nie ujawniła, w jaki sposób napastnicy wybrali ten dom — i właśnie w tej luce kryje się problem branży z danymi.
Około czwartej rano 20 września czterech zamaskowanych mężczyzn wtargnęło do domu rodzinnego w północnej Francji. Skrępowali rodziców i dwoje dzieci czarną taśmą, a ojcu kazali podać kody dostępu i przelać 40 000 euro.
Ojciec jest etatowym pracownikiem IT w branży kryptowalut. Prokuratura nie ujawniła jeszcze, w jaki sposób napastnicy go zidentyfikowali.
Inny incydent z tego samego miesiąca pokazał, jak łatwo takie informacje mogą wyciec. 13 sierpnia producent portfeli sprzętowych Trezor poinformował 13 689 klientów, że w wyniku naruszenia bezpieczeństwa u jednego z dostawców usług wysyłkowych ujawniono wrażliwe dane dotyczące zamówień. Liczba ta wzrosła do ponad 80 000.
Nic nie łączy tych dwóch spraw — i nie musi. Razem ukazują to samo zagrożenie z dwóch stron: bazę danych łączącą adres domowy z dowodem posiadania kryptowalut oraz skutki tego, że ktoś wykorzysta takie powiązanie.
BeInCrypto rozmawiało z ekspertami z Hacken i Zama, aby ustalić, do czego dostawca zobowiązany jest wobec klientów, gdy jego podwykonawca ujawnia ich tożsamość, jakich danych branża powinna przestać przechowywać oraz jak klient może rozpoznać, że podmiot przechowujący jego aktywa zawiedzie go pod przymusem.
Czego nie mówi zapewnienie „Klucze nie zostały naruszone”
Ogłaszając w sierpniu naruszenie bezpieczeństwa, Trezor podkreślił, do czego nie doszło. Jak poinformowała firma, jej własne systemy nie zostały naruszone, a jej urządzenia były bezpieczne.
Te zapewnienia dotyczyły ryzyka, przed którym mają chronić portfele sprzętowe: kradzieży środków.
Jednak Dmytro Yasmanovych, dyrektor ds. GRC i operacji bezpieczeństwa w Hacken, wyjaśnił, że brak skradzionego klucza prywatnego nie oznacza, że klienci są bezpieczni..
„Ktoś, kto zna Twoje imię i nazwisko, adres domowy oraz wie, że masz portfel sprzętowy, dysponuje informacjami, które może wykorzystać, by wziąć Cię na cel. Wymiana przejętego klucza zajmuje kilka minut. Tego samego nie da się zrobić z adresem domowym.”
Jak argumentuje, dlatego informacje przechowywane przez firmy kurierskie i innych dostawców zasługują na tyle samo uwagi co sam portfel. Jeśli baza danych łączy posiadacza kryptowalut z jego domem, konsekwencje mogą dotknąć także jego rodzinę — dodał Yasmanovych.
„Dostawca może więc uniemożliwić komukolwiek dostęp do Twoich środków, a mimo to narazić Cię na znacznie bardziej osobiste zagrożenie. Pytanie brzmi, czy jego zabezpieczenia chronią klienta, a nie tylko portfel.”
Francuskie dane stojące za ostrzeżeniem
Francja pokazuje, jak to wygląda w praktyce. Minister spraw wewnętrznych Laurent Nuñez powiedział pod koniec czerwca, że od stycznia władze odnotowały ponad 70 aktów przemocy związanych z kryptowalutami.
Chainalysis, która zliczała przypadki zgłoszone publicznie, odnotowała we Francji 30 takich zdarzeń do połowy 2026 roku, w porównaniu z 19 w całym 2025 roku.
Firma wskazuje, że najbardziej prawdopodobną przyczyną jest wyciek danych. Przywołuje sprawę z 2024 roku, w której francuski urzędnik skarbowy miał ukraść akta dotyczące zamożnych posiadaczy kryptowalut — w tym ich adresy i numery telefonów — i sprzedać je przestępczym pośrednikom.
Zagrożenie dla rodzin, o którym mówi Yasmanovych, widać w tych samych danych. We Francji w ponad 40% przypadków celem ataku był krewny, a nie sam posiadacz kryptowalut. Ogółem do połowy 2026 roku napady na domy stanowiły 37% udokumentowanych ataków, wobec 26% w 2023 roku.
Chainalysis oszacowała, że w pierwszej połowie roku w wyniku brutalnych ataków na posiadaczy kryptowalut na całym świecie skradziono ponad 30 milionów dolarów. Uwzględniono wyłącznie ataki, w których posiadacz przekazał środki.
Raport szacuje łączną kwotę na 107 milionów dolarów, uwzględniając żądania okupu, zablokowane przelewy i odzyskane środki. Zaznacza jednak, że nawet ta kwota obejmuje tylko zgłoszone przypadki.
Dane, które wskazują cel
Do takich ataków potrzebny jest cel, a jego dane mogą pochodzić z rejestru prowadzonego przez jakąś firmę. Dlatego przechowywanie danych to kolejna kwestia związana z bezpieczeństwem w branży kryptowalut.
Firmy mogą potrzebować informacji o klientach do realizacji konkretnej transakcji lub świadczenia usługi. Jednak bezterminowe ich przechowywanie może stwarzać odrębne zagrożenie, jeśli te informacje zostaną później ujawnione. Zbierania których informacji o klientach branża powinna zaprzestać albo usuwać je szybciej niż dotychczas?
Yasmanovych wskazuje numer telefonu. Wyjaśnia, że firma może go potrzebować, by zorganizować dostawę, ale nie tłumaczy to, dlaczego numer miałby pozostawać w bazie danych klientów przez lata.
Jeśli więc dojdzie do naruszenia bezpieczeństwa bazy danych, numer może posłużyć do phishingu, oszustw telefonicznych lub prób przejęcia numeru przez wymianę karty SIM.
„Usunąłbym powiązanie między zamówieniem a fizycznym adresem dostawy, gdy tylko dostawa zostanie zrealizowana i nie będzie już biznesowego powodu, by je przechowywać. Firma może zachować dane potrzebne do celów podatkowych i gwarancyjnych, nie przechowując pełnego rejestru miejsc dostawy każdego zamówienia.”
Wskazał na inny problem: usuwanie danych często opiera się na czyimś zapewnieniu, że zostały usunięte.
„W jednym przypadku firma miała zasadę przechowywania danych przez dziewięćdziesiąt dni i pisemne potwierdzenie od partnera realizującego zamówienia, że starsze rekordy zostały usunięte. Mimo to w ich systemach nadal znajdowały się dane z wielu lat. Dlatego oczekiwałbym dowodu usunięcia, a nie tylko polityki przechowywania danych. Jeśli nikt nie sprawdza, czy zasada jest przestrzegana, zapewnia ona niewielką ochronę.”
Ta sama odpowiedzialność obejmuje działania podejmowane po ujawnieniu danych klientów. Jak mówi Yasmanovych, oprócz wiadomości ostrzegawczej usługodawca powinien dokładnie wyjaśnić, jakie informacje zostały ujawnione.
„Ujawnienie miasta to jedno. Imię i nazwisko, adres zamieszkania oraz dowód posiadania kryptowalut oznaczają zupełnie inny poziom ryzyka… Osoba, której adres został ujawniony, może potrzebować pomocy w zorganizowaniu przyszłych dostaw bez ponownego udostępniania tego adresu… Gdy sytuacja wymaga czegoś więcej niż standardowa sekcja FAQ, powinna istnieć konkretna osoba lub zespół, z którymi można się bezpośrednio skontaktować.”
Wspomniał, że dostawca musi również zająć się tym, co umożliwiło ujawnienie danych. Jeśli dostawca przechowuje dane dłużej niż uzgodniony okres, klienci powinni wiedzieć, jak firma zapobiegnie temu w przyszłości i jak będzie weryfikować usunięcie danych.
„E-mail z ostrzeżeniem to dopiero początek. Ludzie muszą wiedzieć, co się stało, co mogą teraz zrobić i czy firma rzeczywiście naprawiła wadliwy proces”.
Reakcję Trezora na własny wyciek danych można ocenić według tych kryteriów. Firma wysłała każdemu poszkodowanemu klientowi osobny e-mail, informując, czy jego dane ujawniono w całości, czy tylko częściowo. Ostrzegła też przed phishingiem, a we wrześniu — przed zagrożeniami dla bezpieczeństwa fizycznego.
Firma zapowiedziała również opcję anonimowej dostawy obejmującą odbiór przesyłki z paczkomatu, opakowanie bez oznaczeń marki i automatyczne usuwanie identyfikatorów przesyłek.
Czy technologie ochrony prywatności mogą zniwelować tę lukę?
Problem nie ogranicza się do danych, które firmy przechowują poza łańcuchem bloków. Wraz z przenoszeniem coraz większej liczby transakcji finansowych na publiczne łańcuchy bloków same transakcje mogą stać się kolejnym źródłem ujawnienia danych.
Prezes i współzałożyciel Zamy, dr Rand Hindi, powiedział, że incydent z udziałem Trezora uwypukla problem przechowywania danych poza łańcuchem bloków.
Jego zdaniem, gdy kapitał instytucjonalny będzie napływał na łańcuchy bloków na dużą skalę, poufność transakcji onchain przestanie być dodatkową funkcją, a stanie się warunkiem uczestnictwa. Hindi przytoczył szacunki BCG, według których do 2035 r. cyfrowe aktywa oparte na aktywach ze świata rzeczywistego mogą stanowić około 16% globalnych aktywów inwestycyjnych.
Powiedział, że instytucje podlegające regulacjom nie mogą działać w publicznym rejestrze, w którym widoczne są wszystkie pozycje i relacje z kontrahentami. Przedstawiciel wskazał w pełni homomorficzne szyfrowanie (FHE) jako jeden ze sposobów rozwiązania tego problemu bez rezygnacji ze zgodności z przepisami.
„FHE umożliwia wykonywanie obliczeń bezpośrednio na zaszyfrowanych danych — można zrealizować transfer, sprawdzić próg AML czy zweryfikować uprawnienia, a wszystko to na szyfrogramie — tak, by żaden walidator ani eksplorator bloków nigdy nie zobaczył salda ani innych wrażliwych danych. Gdy regulator zażąda dostępu, określony próg uprawnionych posiadaczy kluczy (zespół ds. zgodności) zatwierdza odszyfrowanie, które jest wymuszane na poziomie protokołu, a nie za pomocą polityki”.
Technologie ochrony prywatności mogą też ograniczyć zakres informacji, które firmy muszą ujawniać, nie uniemożliwiając ich weryfikacji.
Yasmanovych powiedział, że dowody z wiedzą zerową pozwalają giełdzie wykazać, że posiada wystarczające aktywa, by pokryć salda klientów, bez publikowania salda każdego z nich.
Giełda może zatem udostępnić dowód swojej łącznej pozycji, nie ujawniając informacji o poszczególnych kontach. Ekspert dodał, że nie oznacza to, iż informacje stają się niedostępne.
W zależności od konstrukcji systemu uprawniony śledczy może nadal mieć możliwość zbadania dowodów i dokumentacji źródłowej w ramach odpowiedniego audytu lub procedury prawnej.
Dodał, że selektywne ujawnianie działa na podobnej zasadzie przy udostępnianiu informacji o tożsamości. Usługa może wymagać potwierdzenia, że dana osoba spełnia określony wymóg, nie otrzymując przy tym całego dokumentu tożsamości ani profilu klienta.
„Żadne z tych podejść nie rozwiązuje problemu danych osobowych przechowywanych poza blockchainem. Kwoty transakcji, ich czas i powiązania z portfelami mogą pozostać widoczne, a dokumenty tożsamości i adresy domowe nadal znajdują się w bazach giełd, firm dostawczych i operatorów płatności.”
Yasmanovych zauważył, że ta luka jest dość oczywista. Firma może poprawić prywatność samej transakcji, a jednocześnie pozostawić ujawnione w innych miejscach informacje potrzebne do realizacji i obsługi tej transakcji.
Gdy dane uwierzytelniające są prawdziwe, a klient nie ma wyboru
Rozróżnienie między prywatnością transakcji a bezpieczeństwem osobistym staje się jeszcze ważniejsze, gdy klient jest zmuszany do autoryzowania przelewu. Dostawca usług powierniczych może dysponować bezpieczną infrastrukturą i skuteczną kontrolą dostępu.
Te zabezpieczenia są jednak poddawane innej próbie, gdy klient jest zmuszany do przekazania swoich aktywów.
Yasmanovych powiedział, że audyt techniczny może wykazać, iż system działa zgodnie z założeniami. Jest mniej przydatny do zrozumienia, co się dzieje, gdy ktoś zostaje zmuszony do przekazania swoich aktywów.
„Przetestowałbym proces wypłaty w takich warunkach. Na przykład klient z prawidłowymi danymi logowania zleca duży przelew, podczas gdy ktoś wywiera na niego presję. Czy dostawca usług potrafi rozpoznać sytuację, wstrzymać wypłatę albo zaangażować inną osobę, zanim pieniądze zostaną wysłane?”
Wymagane przez niego zabezpieczenia to udział drugiej upoważnionej osoby oraz obowiązkowe opóźnienie przy dużych przelewach — klient nie może wyłączyć żadnego z nich podczas tej samej sesji. Yasmanovych podkreślił, że chodzi o to, by dać dostawcy usług szansę na interwencję, gdy prawidłowe logowanie niekoniecznie oznacza, że klient działa dobrowolnie.
„Poprosiłbym też o pokazanie procedury w praktyce. Polityka może wymagać drugiej zgody, ale nie mówi nam, czy jest ona rzeczywiście niezależna ani czy pracownicy mogą ją ominąć. Test na żywo ujawniłby te słabości znacznie szybciej niż kolejny bezbłędny audyt techniczny.”
System powierniczy może działać dokładnie zgodnie z założeniami, a mimo to zawieść osobę, która z niego korzysta. Ostatni etap zawsze zależy od człowieka, a człowiekowi można zagrozić.
Źródło: BeInCrypto
