Zgłaszany wyciek francuskich danych podatkowych wywołał obawy o bezpieczeństwo posiadaczy kryptowalut, a właściciele Bitcoinów mogą być narażeni na większe ryzyko oszustw, prób szantażu i ukierunkowanych ataków.

Ujawnienie tych danych zwróciło uwagę na ryzyko powstające wtedy, gdy informacje łączące osoby fizyczne z posiadaniem kryptowalut trafiają w ręce złośliwych podmiotów. Takie informacje mogą posłużyć do identyfikacji osób, o których sądzi się, że posiadają znaczne ilości Bitcoina lub innych aktywów cyfrowych, co zwiększa prawdopodobieństwo ukierunkowanych działań socjotechnicznych i fizycznych zagrożeń. Obawa jest szczególnie istotna we Francji, gdzie od 2019 roku podatnicy mają obowiązek zgłaszać zagraniczne rachunki kryptoaktywów, w tym rachunki prowadzone na giełdach, w ramach corocznych deklaracji podatkowych — to dokładnie ten rodzaj zapisu, który wiąże rzeczywistą tożsamość z posiadaniem aktywów cyfrowych.

Według dostarczonych informacji Bitcoin notowany był na poziomie około 62 908,63 dolara, co dodaje wymiar wartości rynkowej do obaw dotyczących bezpieczeństwa posiadaczy aktywów cyfrowych. Choć ceny kryptowalut mogą szybko się zmieniać, zgłaszany wyciek zwraca uwagę na odrębne ryzyko, które nie zależy wyłącznie od ruchów rynkowych: potencjalne konsekwencje ujawnienia informacji o własności aktywów.

Zgłaszane ujawnienie francuskich danych podatkowych może dać przestępcom dodatkowe informacje pozwalające na identyfikację potencjalnych posiadaczy Bitcoinów, zwiększając ryzyko ukierunkowanych oszustw, szantażu oraz tzw. ataków kluczem (ang. wrench attacks).

Ataki kluczem zwiększają obawy o bezpieczeństwo fizyczne

Ataki kluczem polegają na próbach zmuszenia posiadaczy kryptowalut do wydania kluczy prywatnych, haseł lub innych danych uwierzytelniających za pomocą gróźb lub przemocy fizycznej. W przeciwieństwie do konwencjonalnych cyberataków te incydenty wymierzone są w ludzi, a nie w sieci blockchain ani oprogramowanie kryptowalutowe. Zagrożenie to bywa określane mianem „ataku kluczem za 5 dolarów”, etykiety spopularyzowanej przez szeroko rozpowszechniony internetowy komiks z 2011 roku, ilustrujący, jak niewiele daje ochrona kryptograficzna, gdy napastnik może osobiście zmusić posiadacza klucza do współpracy; policja w kilku krajach udokumentowała napady i porwania, w których ofiary zmuszano do przelania kryptowalut.

Ryzyko to staje się większe, gdy napastnicy uzyskają informacje pomagające im identyfikować osoby posiadające potencjalnie cenne aktywa cyfrowe. Publicznie dostępne transakcje w blockchainie same w sobie zazwyczaj nie ujawniają rzeczywistej tożsamości osoby, natomiast wykradzione dane podatkowe lub finansowe mogą pomóc powiązać tożsamości z posiadaniem kryptowalut.

Specjaliści ds. bezpieczeństwa od dawna ostrzegają, że użytkownicy kryptowalut powinni unikać publicznego ujawniania informacji o swoich zasobach. Zdecentralizowany charakter Bitcoina oznacza, że kontrola nad środkami ostatecznie zależy od dostępu do prywatnych danych uwierzytelniających. Jeśli te dane zostaną przejęte, transakcji zazwyczaj nie da się cofnąć za pośrednictwem konwencjonalnego systemu bankowego.

Oszustwa mogą stać się bardziej ukierunkowane

Wyciek danych może również zwiększyć skuteczność phishingu i innych kampanii opartych na socjotechnice. Przestępcy dysponujący informacjami o sytuacji finansowej danej osoby mogą tworzyć bardziej przekonujące wiadomości lub podszywać się pod organy rządowe, instytucje finansowe, serwisy kryptowalutowe lub inne zaufane organizacje. Podszywanie się pod francuską administrację podatkową jest już powtarzającym się wektorem oszustw, przed którym francuskie władze publicznie ostrzegają, a skradzione dane podatkowe mogą utrudnić odróżnienie fałszywych wiadomości od prawdziwych komunikatów.

Napastnicy mogą próbować przekonać ofiary do ujawnienia danych dostępowych do portfeli, przelania środków lub zatwierdzenia transakcji. Połączenie danych osobowych z informacjami o posiadaniu kryptowalut może zatem stwarzać ryzyka wykraczające poza klasyczną kradzież tożsamości.

Posiadacze Bitcoinów mogą zareagować, wzmacniając bezpieczeństwo operacyjne, w tym korzystając z portfeli sprzętowych, dbając o bezpieczne kopie zapasowe i oddzielając publicznie identyfikowalne informacje od adresów kryptowalutowych. Posiadacze dużych zasobów mogą dodatkowo rozważyć środki ochrony bezpieczeństwa fizycznego oraz ograniczenia liczby osób świadomych ich posiadłości.

Incydent pokazuje, jak prywatność finansowa może stać się istotnym elementem bezpieczeństwa kryptowalut, zwłaszcza gdy wykradzione informacje mogą pomóc przestępcom powiązać rzeczywiste tożsamości z aktywami cyfrowymi.

Ryzyka bezpieczeństwa potęgują obawy rynkowe

Zgłaszany wyciek pojawił się w czasie, gdy inwestorzy w Bitcoina nadal śledzą zmienność i szersze obawy dotyczące rynku kryptowalut. Implikacje bezpieczeństwa wynikające z ujawnienia informacji o własności różnią się jednak od konwencjonalnych ryzyk rynkowych, ponieważ mogą pozostawać aktualne niezależnie od tego, czy cena Bitcoina rośnie, czy spada.

Modele predykcji cen i strategie inwestycyjne koncentrują się zazwyczaj na takich czynnikach jak płynność rynku, popyt, warunki makroekonomiczne i historyczne zachowanie cen. Rosnące ryzyka bezpieczeństwa trudniej zmierzyć, ale mogą one podnosić koszty związane z bezpiecznym utrzymywaniem znacznych pozycji kryptowalutowych.

Dla dużych posiadaczy silniejsze rozwiązania w zakresie przechowywania środków, środki ochrony fizycznej i zabezpieczenia prywatności mogą stawać się coraz ważniejsze w miarę szerszego upowszechniania się aktywów cyfrowych. Incydent zwraca też uwagę na potencjalne konsekwencje ujawnienia danych rządowych lub finansowych, zwłaszcza gdy informacje te można połączyć z publicznie dostępnymi zapisami blockchain. Naruszenia w agencjach podatkowych nie są bezprecedensowe — bułgarska krajowa agencja dochodów została zhakowana w 2019 roku w incydencie dotyczącym milionów rekordów podatników — a baza danych o własności kryptowalut gromadzonych przez rządy ma się powiększać: zgodnie z unijną dyrektywą DAC8, będącą częścią ram raportowania kryptoaktywów OECD (Crypto-Asset Reporting Framework), platformy kryptowalutowe będą od 2026 roku zobowiązane do przekazywania danych klientów organom podatkowym. Zgodnie z europejskim RODO kwalifikujące się naruszenia danych osobowych muszą być zgłaszane do CNIL, francuskiego organu ochrony danych, w ciągu 72 godzin, a dotknięte osoby muszą być informowane, gdy ryzyko dla nich jest wysokie — dlatego każde oficjalne potwierdzenie skali wycieku oraz powiadomień skierowanych do dotkniętych podatników to kluczowy szczegół, którego warto wypatrywać.

W miarę rozpowszechniania się Bitcoina ochrona prywatności informacji o własności nabiera coraz większego znaczenia, ponieważ ujawnienie danych może stwarzać ryzyka wykraczające poza straty finansowe spowodowane zmiennością rynku.

Zgłaszany francuski wyciek jest zatem przypomnieniem, że bezpieczeństwo kryptowalut to coś więcej niż ochrona portfeli i kluczy prywatnych. Ograniczanie osobistej ekspozycji, utrzymywanie silnych praktyk bezpieczeństwa cyfrowego oraz ostrożne zarządzanie informacjami o posiadanych kryptowalutach również mogą odgrywać kluczową rolę w ograniczaniu ryzyka ze strony coraz bardziej ukierunkowanej działalności przestępczej.

Źródło: CoinTrust