Pocket Bitcoin, szwajcarska usługa umożliwiająca zakup Bitcoina, ujawniła rekordy, które powiązały tożsamości 291 klientów z ich publicznymi adresami Bitcoin. Oznacza to, że prawdziwe nazwiska mogły zostać bezpośrednio zestawione z aktywnością on-chain, co stanowi poważny problem prywatności, nawet jeśli nie skradziono żadnych monet.

Co Pocket Bitcoin ujawnił w opisanych rekordach

Sedno sprawy jest proste: zgodnie z własnym zawiadomieniem Pocket Bitcoin o incydencie bezpieczeństwa, rekordy powiązały 291 indywidualnych klientów z publicznymi adresami Bitcoin, których używali. Zobacz także: Bitcoin Moves Above $79,000, Nearing $80,000 as BTC Momentum Builds.

Powiązanie tożsamości z adresem oznacza połączenie nazwiska osoby z ciągiem znaków, który odbiera i wysyła Bitcoin. Gdy takie powiązanie istnieje, każdy, kto je zobaczy, może ustalić, który adres należy do której osoby. Zobacz także: Bitcoin Liquidation Cluster Builds Near $70.7K and $78K as Leverage Returns.

Relacje dotyczące incydentu opisywały wycieki rekordów zgodności, które bezpośrednio łączyły nazwiska z aktywnością portfeli dotkniętych użytkowników, jak podał CryptoSlate. To istotne, ponieważ rekordy zgodności i przechowywania aktywów często stanowią pomost między bazą klientów regulowanej usługi a publiczną aktywnością w blockchainie. Ten artykuł opiera się wyłącznie na tych stwierdzonych faktach, ponieważ dostępne badania są ograniczone. Zobacz także: Bitcoin Traders Cheer April Gains, but One Fed Date Could Reverse the Rally.

Dlaczego łączenie tożsamości z adresami Bitcoin jest poważnym problemem prywatności

Każdy adres Bitcoin jest publiczny. Każdy może wyszukać adres w eksploratorze blockchaina i zobaczyć pełną historię transakcji, w tym salda i wcześniejsze transfery. Zobacz także: SEC proposes transfer agent rule changes for tokenized securities.

Z założenia adres jest tylko numerem, a nie nazwiskiem. Ta pseudonimowość stanowi warstwę prywatności. Gdy do adresu zostanie przypisane nazwisko, ta warstwa dla danej osoby znika.

Zagrożeniem jest więc ujawnienie danych, a nie kradzież. Nikt nie zgłaszał skradzionych monet. Sama taka zależność może jednak ujawnić, ile ktoś posiada środków i jak nimi się porusza, a wiele osób słusznie chce zachować te informacje prywatnie.

Obrońca prywatności Jameson Lopp od dawna ostrzega, jak łatwo dane on-chain można powiązać z konkretnymi osobami, w swoich publicznych tekstach o prywatności Bitcoina. Ten incydent jest konkretnym przykładem takiego ryzyka.

Na co powinni zwrócić uwagę poszkodowani klienci i użytkownicy Bitcoina

Potwierdzone fakty są ograniczone. Wiemy, że dotyczyło to 291 klientów i że ich tożsamości były powiązane z publicznymi adresami.

Wiele pytań pozostaje bez odpowiedzi. Z dostępnych dowodów nie wynika dokładnie, w jaki sposób doszło do wycieku rekordów, jak długo były one dostępne ani czy ktokolwiek je nadużył.

Pocket Bitcoin działa zgodnie ze szwajcarskimi zasadami przeciwdziałania praniu pieniędzy, które wymagają od usług zbierania danych identyfikacyjnych klientów, jak opisuje szwajcarski regulator finansowy FINMA. To właśnie dlatego takie firmy przechowują powiązania między tożsamością a adresem.

Praktyczny wniosek: jeśli kupujesz Bitcoina za pośrednictwem jakiejkolwiek regulowanej usługi, miej świadomość, że firma przechowuje zapis łączący cię z adresami, których używasz. Jednym ze sposobów ograniczania ekspozycji jest przeniesienie środków na nowy adres po zakupie, co bywa często omawiane w przypadkach śledzenia środków on-chain.

Poszkodowani klienci powinni śledzić bezpośrednie powiadomienia od Pocket Bitcoin oraz kolejne komunikaty dotyczące naprawy sytuacji. Przyszłe ujawnienia pokażą, czy ekspozycja została ograniczona i jakie zabezpieczenia zostaną zmienione.

Zastrzeżenie: Ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znacznym ryzykiem. Zawsze przeprowadzaj własne badania przed podjęciem decyzji.