Binance оқиғасы шамамен $6,3 млрд активке әсер етті. Биржа пайдаланушылардың шығындарын жабуға жария түрде міндеттенді, алайда қаражаттың нақты қайтарылуы күндер мен апталарға созылуы мүмкін. Сонымен қатар, шағын алаңдардың клиенттері әлдеқайда аз қорғалған — бұл туралы Ресей криптоэкономика, жасанды интеллект және блокчейн қауымдастығының (РАКИБ) атқарушы директоры Александр Бражников тікелей айтады.

Оқиға туралы не белгілі

Binance-тің бастапқы нұсқасы бойынша, шабуыл DevOps-инженердің ноутбугінің бұзылуымен байланысты. Осыдан кейін қаскүнем қызметтік контейнерге қол жеткізіп, қаражатты рұқсатсыз шығара алған. Компания өкілдері атап өтеді: әмияндардың жеке кілттерінің ағып кету белгілері табылмады, ал түпкілікті техникалық көрініс әзірге анықталмаған.

Биржа қаражатты енгізу мен шығаруды уақытша тоқтатып, стейблкоин эмитенттерімен және блокчейн серіктестерімен өзара іс-қимылдың арқасында активтердің бір бөлігін қатырды. Қаражатты шығару 1 қарашада қайта жандандырылды, ал компания ұрланған қаражаттың 90%-ына резервтерді қамтамасыз етті. Қосымша шамамен $3 млрд қатырылды. Алайда бұл барлық ақша қайтарылды және әрбір зардап шеккен адам өтемақы алды дегенді білдірмейді.

Әлеуметтік инженерия жоғары деңгейдегі қару ретінде

Қаскүнемдер әлдеқашан кодтағы осалдықтарды іздейтін қарапайым бағдарламашылар болудан қалды. Енді олар көпжылдық әлеуметтік инженерия сценарийлерін — адамдарды психологиялық алдауды құрастырады. Жалған хабарламалар, қоңыраулар, таныс сервистер, әріптестердің аккаунттары, құжаттар мен сілтемелер қолданылады.

Адам бір қарағанда қарапайым жұмыс хат алмасуын көреді: таныс платформа атауы, дұрыс мекенжай, әдеттегі кіру нысаны, басшының немесе серіктестің қолы. Кейде шабуылдаушылар апталар бойы ақпарат жинап, сенімге ие болып, қызметкердің бір қате қадам жасауын күтеді.

Сондықтан бүгінде «бұзу» ұғымын техникалық қорғанысты жеңуге теңестіруге болмайды. Кейде қаскүнем есікті бұзбайды, кілтті алады — өйткені жүйе немесе оның қызметкері оны өзінікі деп қабылдады. Бұл криптосала үшін әсіресе қауіпті: дәстүрлі қаржыда қате операцияны кейде банк немесе төлем жүйесі арқылы тоқтатуға болады, ал криптовалютадағы қаражат тезірек қозғалып, көптеген желілер, айырбастауыштар және орталықсыздандырылған протоколдар арқылы өтеді.

Өтемақы уәдесі — лезде қайтару емес

Binance пайдаланушылардың залалын SAFU қоры және өз қаражаты есебінен жабуға уәде берді. Бұл маңызды міндеттеме, бірақ мұндай ауқымда өтемақы қарапайым түймені басуға келмейді.

Алдымен залалдың нақты көлемін анықтау, расталған операцияларды күдіктілерден бөлу және әртүрлі желілердегі қаражат қозғалысын тексеру қажет. Содан кейін платформаның қауіпсіздігін қамтамасыз ету, өтемақы тәртібін анықтау және жаңа тәуекелдерді болдырмау керек. Сондықтан пайдаланушылар шығындарды өтеу туралы жария уәде мен төлемдердің нақты аяқталуын ажырата білуі керек. Олардың арасында күндер, апталар, ал күрделі халықаралық жағдайларда одан да көп уақыт өтуі мүмкін.

Бұл дүрбелеңге негіз емес, бірақ тәуекелдерді салқын бағалауға негіз. Ірі алаңның резервтері, сақтандыру механизмдері және активтерді бұғаттау туралы келісу мүмкіндігі бар, ал шағын биржаның, әмиянның немесе айырбастауыштың клиенті әрдайым дәл осындай жағдайда бола бермейді. Демек, кез келген залал тез өтеледі деп есептеуге негізделген жеке немесе корпоративтік қаржылық стратегия құруға болмайды.

Әлемнің бөлінуі активтерді қайтаруға кедергі келтіреді

Ірі киберқылмыстарды тергеу халықаралық өзара іс-қимылды талап етеді: деректерді жылдам алмасу, мекенжайларды бұғаттау, ұйымдастырушылардың жеке басын анықтау, делдалдар мен қаражатты шығару арналарын іздеу. Бүгінде бұл жұмыс 2010-жылдардың басына қарағанда айтарлықтай күрделі: әлем саяси қақтығыстармен, санкциялармен, өзара сенімсіздікпен, елдер арасындағы бәсекелестікпен және әртүрлі құқықтық режимдермен бөлінген. Кім көмектесуге дайын, кім ынтымақтастықты шектейді, ал кім жағдайды өз мүддесінде пайдалана алатыны белгісіз.

Жекелеген ведомстволар мен компаниялардың адал жұмысы кезінде де халықаралық реакция жылдамдығы төмендейді. Цифрлық активтер үшін уақыт шешуші: қаражат әртүрлі желілер, орталықсыздандырылған айырбастауыштар, миксерлер және әмиян тізбектері арқылы неғұрлым жылдам өтсе, оларды бақылау, қатыру және қайтару соғұрлым қиын. Бастапқы деректерге қарағанда, биржадан шығарылған монеталар бірнеше блокчейн бойынша қозғалған. Сондықтан тергеу — бұл тек бір биржаның жұмысы емес, сонымен қатар көптеген компаниялардың, аналитикалық платформалардың және әртүрлі елдердің құқық қорғау органдарының үйлестіруі.

Реттеу қағазда емес, шындықта қорғауы керек

Бұл оқиға қазір, Ресейде криптовалюта нарығының реттелетін инфрақұрылымы — криптобиржалар, цифрлық депозитарийлер, брокерлер мен айырбастауыштар қалыптасып жатқан кезде әсіресе маңызды. Ұйымды тізілімге енгізу қажет, бірақ жеткіліксіз. Нарық қатысушылары капитал мен есептілік талаптарына ғана сәйкес келмеуі керек — олар нақты қауіптерге қарсы тұра алатынын дәлелдеуге міндетті.

Киберқауіпсіздіктің тәуелсіз тексерулері; қол жеткізу құқықтарын бөлу және ең аз қажетті қол жеткізу қағидаты; маңызды операцияларды көп деңгейлі растау; аномальды аударымдарды үнемі мониторингілеу; мердігерлер мен сенімді сервистердің қорғалғандығын тексеру; қызметкерлерді әлеуметтік инженериядан қорғануға оқыту; жұмыстың үздіксіздігі және оқиғадан кейін қалпына келу жоспарлары; клиенттерді хабардар етудің түсінікті тәртібі; өтемақы мен дауларды шешудің ашық механизмдері; клиенттік активтер мен компанияның өз қаражатын дәлелді түрде бөлу міндетті болуы керек.

Сенімді ресурстармен жұмысты тексеру әсіресе маңызды. Қауіпсіздікті танымал бренд, әдеттегі сервис немесе ішкі аккаунт автоматты түрде сенімді деген сенімге негіздеуге болмайды: қазіргі ортада сенім техникалық рәсімдермен үнемі расталуы керек.

Пайдаланушының өзі не істеуі керек

Пайдаланушы да барлық жауапкершілікті алаңға жүктей алмайды. Тіпті ірі биржа, банк немесе технологиялық компания кодтарды беретін, белгісіз бағдарламаларды орнататын немесе күмәнді сілтемелерге өтетін адамды толық қорғай алмайды.

Негізгі ережелер: ешкімге құпия сөздерді, растау кодтарын және сид-фразаларды айтпау; «қолдау қызметінің» өтініші бойынша қашықтан қол жеткізу бағдарламаларын орнатпау; сайт мекенжайы мен хабарлама көзін тексеру; ірі сомалармен операциялар үшін жеке жұмыс құрылғыларын пайдалану; аппараттық кілттер мен көпфакторлы аутентификацияны қолдану; барлық активтерді бір нүктеде сақтамау; бұзылу күдігі туындағанда қалай әрекет ету керектігін алдын ала білу.

Ең бастысы — психологиялық қысымға берілмеу. Қаскүнемдер жиі жасанды шұғылдық жасайды: «сіздің шотыңыз бұғатталады», «қаражат қауіп астында», «операцияны шұғыл растау керек». Мұндай жағдайда ең дұрысы — тоқтап, содан кейін ресми сайтты өз бетінше ашып, ақпаратты тәуелсіз арна арқылы тексеру.

Негізгі қорытынды

Binance мысалы көрсетеді: криптоэкономика әлдеқашан жаһандық қаржылық және технологиялық инфрақұрылымның бөлігіне айналды. Мұндағы тәуекелдер жекелеген миллиондармен емес, миллиардтаған доллармен өлшенеді. Олар блокчейн технологияларының ғана емес, басқару қателерінің, активтердің шоғырлануының, адами фактордың және халықаралық бөлінудің салдарынан туындайды. Криптовалюта қауіпсіздігі бүгінде елеулі қауіп астында.

Қаскүнемдер әлеуметтік инженерияны шынымен де өте жоғары деңгейде қолдануды үйренді. Олар тек кодқа ғана емес, сенімге де шабуыл жасайды. Сондықтан формальды реттеу жүйесі емес, технологиялық қорғаныс, делдалдардың жауапкершілігі, пайдаланушылардың сауаттылығы және халықаралық өзара іс-қимыл біртұтас жұмыс істейтін инфрақұрылым қажет. Цифрлық экономикаға сенім уәделер