Słabo generowane frazy odzyskiwania portfeli zostały powiązane z co najmniej 5,69 mln USD strat w kryptowalutach — wynika z nowej analizy bezpieczeństwa dotyczącej tego, jak niektóre portfele tworzą sekretną sekwencję słów chroniącą środki użytkowników. Fraza odzyskiwania to lista słów, która pozwala przywrócić portfel kryptowalutowy, a gdy te słowa są zbyt przewidywalne, złodzieje mogą je odgadnąć i opróżnić konto.

NAJWAŻNIEJSZE INFORMACJE

• Słabo generowane frazy odzyskiwania powiązano z co najmniej 5,69 mln USD skradzionych kryptowalut.
• Straty wynikają z tego, jak frazy zostały utworzone, a nie z phishingu, nieudanych transakcji ani włamania na giełdę.
• Przewidywalne generowanie fraz zmniejsza liczbę prób potrzebnych atakującemu, narażając portfele self-custody.

Jak słabe frazy odzyskiwania powiązano z raportowanymi stratami

Badacze bezpieczeństwa z Coinspect prześledzili około 5,69 mln USD strat kryptowalutowych do fraz odzyskiwania portfeli, które zostały wygenerowane w słaby, przewidywalny sposób. Zobacz też powiązany materiał: Cleveland Fed: Bitcoin's 12-Month Gains Attract New Crypto Investors.

To ustalenie jest analizą bezpieczeństwa, a nie historią o wahaniach rynku. Ma to znaczenie, ponieważ środki te zostały utracone nawet wtedy, gdy ceny poruszały się z niezwiązanych powodów, w przeciwieństwie do szerokich wyprzedaży, takich jak spadek Bitcoina poniżej 79,000 USD. Zobacz też powiązany materiał: Next Crypto to Explode? Ethereum and AVAX Set the Pace as IceBull's Stage 1 Buy Window Opens.

Straty zostały powiązane konkretnie ze sposobem tworzenia fraz. W relacji z badania odnotowano, że poszkodowani użytkownicy stracili pieniądze, ponieważ ich seed portfela był zbyt przewidywalny, a nie z powodu zwykłej aktywności handlowej.

Dlaczego słabe generowanie fraz tworzy bezpośrednią ścieżkę ataku

Bezpieczna fraza odzyskiwania powinna być losowa, jak losowanie słów na ślepo z ogromnego worka. Słabe generowanie jest odwrotnością tego: słowa podążają za wzorcem, który komputer może odtworzyć.

Przewidywalność zmniejsza „przestrzeń wyszukiwania”, czyli liczbę kombinacji, które atakujący musi sprawdzić. Gdy frazy pochodzą z wadliwego generatora liczb losowych, ta przestrzeń kurczy się z astronomicznie dużej do takiej, którą złodziej może złamać metodą brute-force.

Śledczy powiązali część problemu ze słabą losowością w szeroko używanej bibliotece crypto-js, której wadliwe generowanie mogło osłabić bezpieczeństwo portfeli self-custody.

To błąd bezpieczeństwa portfela, a nie tylko pomyłka użytkownika. Zagrożenie polega na tym, że środki mogą zostać ujawnione bez kliknięcia linku phishingowego i bez włamania na giełdę — wyłącznie dlatego, że sama fraza była możliwa do odgadnięcia, jak opisano w materiale o luce słabej losowości.

Co to oznacza dla użytkowników portfeli i szerszej branży krypto

Dla zwykłych posiadaczy wniosek jest taki, że self-custody jest tak bezpieczne, jak narzędzie, które wygenerowało frazę. Jeśli trzymasz kryptowaluty w portfelu, nad którym masz kontrolę, etap konfiguracji oprogramowania jest równie ważny jak hasło, ponieważ fraza odzyskiwania jest ostatnią linią dostępu, gdy urządzenie zostanie utracone lub wymienione.

Użytkownicy całkowicie polegają na oprogramowaniu portfela przy tworzeniu bezpiecznych danych odzyskiwania podczas konfiguracji. Gdy ten proces jest wadliwy, nawet ostrożne osoby mogą stracić środki, co podważa zaufanie do bezpieczeństwa portfeli i wywiera większą presję na deweloperów, aby wykazali, że ich produkty generują prawdziwą losowość.

Dla deweloperów to zdarzenie jest impulsem do audytu sposobu, w jaki portfele tworzą frazy, oraz do trzymania się wyższych standardów bezpieczeństwa. Dzieje się to także w czasie szerszej kontroli branży — od zmieniających się zasad SEC dotyczących sprzedaży tokenów po nowe przedsięwzięcia, takie jak World Liberty crypto bank.

Praktyczny wniosek jest taki, że była to możliwa do uniknięcia słabość o realnym koszcie finansowym. Jeśli korzystasz z portfela self-custody, wybieraj dobrze oceniane, audytowane oprogramowanie i traktuj sposób wygenerowania frazy odzyskiwania jako kluczowy element ochrony kryptowalut.

Zastrzeżenie: Ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znacznym ryzykiem. Zawsze przeprowadzaj własne badania przed podjęciem decyzji.