Французскую семью злоумышленники несколько часов держали связанной ради их криптовалюты. Полиция не сообщила, как нападавшие выбрали именно этот дом, и именно в этом пробеле кроется проблема отрасли с данными.

Около 4 часов утра 20 сентября четверо мужчин в капюшонах ворвались в семейный дом на севере Франции. Они связали чёрной лентой родителей и двоих детей и заставили отца выдать коды доступа и перевести 40 000 евро. 

Отец — наёмный ИТ-специалист в криптоиндустрии. Прокуратура пока не сообщила, как нападавшие вычислили его.

Отдельный инцидент того же месяца показал, насколько легко утекает подобная информация. 13 августа производитель аппаратных кошельков Trezor сообщил 13 689 клиентам, что утечка у одного из его логистических подрядчиков раскрыла чувствительные данные заказов. Впоследствии это число выросло до более чем 80 000.

Эти два случая ничем не связаны, да и не должны быть. Вместе они описывают одну и ту же уязвимость с двух сторон: базу данных, которая связывает домашний адрес с доказательством владения криптовалютой, и то, что происходит, когда кто-то этим воспользуется.

BeInCrypto поговорил с экспертами из Hacken и Zama о том, что провайдер должен своим клиентам, когда подрядчик раскрывает их личность, какие данные отрасли следует перестать хранить и как клиент может понять, что кастодиан подведёт его под принуждением.

Что скрывается за фразой «Ключи не скомпрометированы»

Когда Trezor объявил об утечке в августе, компания сделала акцент на том, чего не произошло. По её словам, собственные системы не были скомпрометированы, а устройства оставались в безопасности. 

Эти заверения касались того риска, ради предотвращения которого и существуют аппаратные кошельки: кражи средств.

Однако руководитель GRC и операций по безопасности Hacken Дмитрий Ясманович пояснил, что отсутствие похищенного приватного ключа не означает, что клиенты вне опасности. 

“Тот, кто знает ваше имя, домашний адрес и то, что у вас есть аппаратный кошелёк, обладает информацией, которую может использовать против вас. Скомпрометированный ключ можно заменить за минуты. С домашним адресом так не получится.”

Он утверждает, что именно поэтому информация, которую хранят курьерские компании и другие подрядчики, заслуживает не меньшего внимания, чем сам кошелёк. Если база данных связывает держателя криптовалюты с его домом, последствия могут коснуться и его семьи, добавил Ясманович.

“То есть провайдер может не дать никому доступа к вашим средствам и всё равно оставить вас уязвимым куда более личным образом. Вопрос в том, защищают ли его меры безопасности клиента, а не только кошелёк.”

Французская статистика за этим предупреждением

Франция показывает, как это выглядит. Министр внутренних дел Лоран Нуньес заявил в конце июня, что власти зафиксировали более 70 связанных с криптовалютой насильственных инцидентов с января. 

Chainalysis, подсчитавшая публично сообщённые случаи, насчитала во Франции 30 за первую половину 2026 года против 19 за весь 2025 год. 

Компания называет наиболее вероятной причиной утечку данных. Она указывает на случай 2024 года, когда французский налоговый чиновник, по версии следствия, похитил досье на состоятельных держателей криптовалюты, включая адреса и телефоны, и продал их криминальным посредникам. 

Уязвимость семьи, о которой говорит Ясманович, видна в тех же данных. Во Франции более 40% инцидентов были направлены против родственника, а не самого держателя. В целом вторжения в дома составили 37% задокументированных нападений к середине 2026 года против 26% в 2023-м.

По оценке Chainalysis, насильственные нападения на держателей по всему миру принесли более 30 млн долларов в первой половине года. Сюда входят только нападения, при которых держатель отдал средства.

В отчёте общий ущерб оценивается в 107 млн долларов с учётом требований выкупа, заблокированных переводов и возвращённых средств, при этом отмечается, что даже эта цифра охватывает лишь сообщённые случаи.

Данные, стоящие за целью

Таким нападениям нужна цель, а цель может прийти из записи, которую кто-то сохранил. Это делает хранение данных ещё одной проблемой безопасности для криптоиндустрии. 

Компаниям может понадобиться информация о клиенте для конкретной транзакции или услуги. Однако бессрочное её хранение может создать отдельный риск, если эта информация позже окажется раскрыта. Так какие данные о клиенте отрасли следует перестать собирать или удалять раньше, чем сейчас?

Ясманович называет номер телефона. Он пояснил, что компании он может понадобиться для организации доставки, но это не объясняет, почему он должен годами оставаться в клиентской базе.

Ведь если базу взломают, номер может пригодиться для фишинга, голосового мошенничества или попыток подмены SIM-карты.

“Я бы удалял связь между заказом и физическим адресом доставки, как только доставка завершена и больше нет деловой причины её хранить. Компания может сохранять то, что нужно для целей налогообложения и гарантии, не удерживая полную запись о том, куда был доставлен каждый заказ.”

Он обозначил и другую проблему: удаление данных часто держится на чьём-то слове, что оно выполнено.

“В одном случае у компании было правило хранения в девяносто дней и письменное подтверждение от партнёра по логистике, что более старые записи удалены. Данные за годы всё ещё лежали в их системах. Вот почему я хотел бы видеть доказательство удаления, а не просто политику хранения. Если никто не проверяет, соблюдается ли правило, оно почти не защищает.”

Та же ответственность распространяется на то, что происходит после раскрытия информации о клиенте. По словам Ясмановича, помимо письма-предупреждения провайдер должен точно объяснить, какая именно информация была раскрыта. 

“Утёкший город — это одно. Имя, домашний адрес и доказательство владения криптовалютой создают совсем иной уровень риска…Тому, чей адрес утёк, может понадобиться помощь в организации будущих доставок так, чтобы не раскрывать его снова… Должен быть конкретный человек или команда, к которым можно обратиться, когда ситуация требует большего, чем стандартный раздел вопросов и ответов.”

Он отметил, что провайдеру также нужно разобраться с тем, что вообще позволило раскрытию произойти. Если подрядчик хранит данные дольше согласованного срока, клиентам следует рассказать, как это будет предотвращаться и как удаление будет проверяться в будущем.

“Письмо-предупреждение — это отправная точка. Людям нужно знать, что случилось, что они могут сделать сейчас и действительно ли компания исправила давший сбой процесс.”

Реакцию Trezor на собственную утечку можно оценить по этому списку. Компания разослала пострадавшим клиентам индивидуальные письма, указав, было ли раскрытие полным или частичным, и предупредила о фишинге, а в сентябре — и о рисках физической безопасности. 

Она также пообещала вариант анонимной доставки с получением через постаматы, упаковкой без брендинга и автоматическим удалением идентификаторов отправлений.

Может ли технология приватности закрыть этот пробел?

Проблема не ограничивается данными, которые компании хранят вне блокчейна. По мере того как всё больше финансовой активности переходит в публичные блокчейны, сами транзакции могут создавать ещё один слой уязвимости.

Генеральный директор и сооснователь Zama доктор Ранд Хинди сказал, что инцидент с Trezor высвечивает проблему хранения данных вне блокчейна. 

Он утверждал, что по мере того как институциональный капитал в больших объёмах переходит в блокчейн, конфиденциальность в сети перестаёт быть функцией и становится условием участия. Хинди сослался на оценку BCG, согласно которой цифровые реальные активы могут достичь примерно 16% мировых инвестиционных активов к 2035 году.

Он сказал, что регулируемые организации не могут работать в публичном реестре, где видна каждая позиция и каждая связь с контрагентом. Руководитель указал на полностью гомоморфное шифрование (FHE) как на один из способов решить это без ущерба для комплаенса. 

“FHE позволяет вычислять прямо на зашифрованных данных — перевод исполняется, порог AML проверяется, право на участие подтверждается, и всё это на шифротексте — при этом ни один валидатор или обозреватель блоков никогда не видит баланс или другие чувствительные данные. Когда доступ требуется регулятору, разрешённый порог держателей ключей (команда комплаенса) санкционирует расшифровку, которая обеспечивается на уровне протокола, а не через политику.”

Технология приватности также может ограничить объём информации, который компании обязаны раскрывать, не делая проверку невозможной.

Ясманович сказал, что доказательства с нулевым разглашением позволяют бирже продемонстрировать, что у неё достаточно активов для покрытия балансов клиентов, не публикуя баланс каждого клиента.

Таким образом биржа может поделиться свидетельством своего общего положения, не выставляя напоказ информацию по отдельным счетам. Эксперт добавил, что это не означает, что информация становится недоступной. 

В зависимости от того, как устроена система, уполномоченный следователь всё же может изучить свидетельства и лежащие в их основе записи через надлежащий аудит или юридическую процедуру.

Он добавил, что избирательное раскрытие работает по схожему принципу при передаче идентификационной информации. Сервису может понадобиться подтвердить, что человек соответствует определённому требованию, не получая его удостоверение личности целиком или весь клиентский профиль.

“Ни один из подходов не решает проблему персональных данных, хранящихся вне блокчейна. Суммы транзакций, время и связи между кошельками могут оставаться видимыми, тогда как удостоверения личности и домашние адреса по-прежнему лежат в базах бирж, служб доставки и платёжных систем.”

Ясманович отметил, что пробел довольно прост. Компания может улучшить приватность вокруг самой транзакции, оставив при этом информацию, необходимую для доставки и поддержки этой транзакции, открытой где-то ещё.

Когда учётные данные настоящие, а клиент несвободен

Различие между приватностью транзакции и личной безопасностью становится ещё важнее, когда клиента принуждают санкционировать перевод. У кастодиального провайдера может быть защищённая инфраструктура и надёжный контроль доступа. 

Но эти меры защиты проходят иное испытание, когда клиента под принуждением заставляют отдать активы. 

Ясманович сказал, что технический аудит может показать, что система работает как задумано. Он менее полезен для понимания того, что происходит, когда человека вынуждают отдать активы.

“Я бы проверил процесс вывода под таким давлением. Например, клиент с действующими учётными данными запрашивает крупный перевод, пока его кто-то принуждает. Может ли провайдер распознать ситуацию, приостановить вывод или подключить кого-то ещё до того, как деньги уйдут?”

Необходимые ему меры контроля — это второе уполномоченное лицо и обязательная задержка на крупные переводы, ни одну из которых клиент не может отменить в течение той же сессии. Ясманович подчеркнул, что смысл в том, чтобы дать провайдеру шанс вмешаться, когда действительный вход не обязательно означает, что клиент действует свободно.

“Я бы также попросил показать процесс в действии. Политика может требовать второго одобрения, но это не говорит вам, действительно ли одобрение независимо и могут ли сотрудники его обойти. Живой тест выявил бы эти слабые места гораздо быстрее, чем очередной безупречный технический аудит.”

Кастодиальная система может работать в точности как задумано и всё равно подвести человека, который ею пользуется. Последний шаг всегда проходит через человека, а человека можно запугать.

Источник: BeInCrypto