Η κλοπή 6,3 δισ. δολαρίων από την Binance, την οποία πραγματοποίησε μια επίλεκτη ομάδα χάκερ της Βόρειας Κορέας, επαναφέρει στο προσκήνιο μια χρόνια αδυναμία του κλάδου των κρυπτονομισμάτων: οι κυβερνοεγκληματίες ενδέχεται να χρειάζεται να παραβιάσουν τα συστήματα ενός και μόνο εργαζομένου για να αποκτήσουν πρόσβαση στο εσωτερικό μιας εταιρείας, ενώ οι ανομοιογενείς πρακτικές ασφαλείας μπορούν να τους επιτρέψουν να αξιοποιήσουν αυτή την αρχική πρόσβαση για να πραγματοποιήσουν μια τεράστια κλοπή.
Η επίθεση της 29ης Οκτωβρίου, την οποία οι ειδικοί χαρακτηρίζουν ως τη μεγαλύτερη κλοπή κρυπτονομισμάτων όλων των εποχών, ολοκληρώθηκε μέσα σε λίγα λεπτά, έπειτα από μήνες σχεδιασμού και προετοιμασίας, σύμφωνα με την αρχική έρευνα της Binance.
Ειδικοί στην κυβερνοασφάλεια υποστηρίζουν ότι η επίθεση εγείρει ερωτήματα όχι μόνο για το πώς τα ανταλλακτήρια προστατεύουν τους εργαζομένους τους από εξελιγμένες μεθόδους κοινωνικής μηχανικής (social engineering), αλλά και για το κατά πόσον διαθέτουν επαρκείς εσωτερικούς ελέγχους, ώστε να περιορίζουν τις δυνατότητες ενός εισβολέα όταν παραβιάζονται ο υπολογιστής ή τα διαπιστευτήρια πρόσβασης ενός εργαζομένου.
Η κοινωνική μηχανική αποτελεί μια ευρέως γνωστή απειλή στον κλάδο, δήλωσε ο Τζόναθαν Αλεξάντερ, επικεφαλής τεχνολογίας της OpenZeppelin, εταιρείας ασφάλειας blockchain που ανήκει στην S&P Global.
Το σημαντικότερο ερώτημα, σύμφωνα με τον ίδιο, είναι γιατί τα ανταλλακτήρια δεν διαθέτουν ισχυρότερες εσωτερικές δικλίδες ασφαλείας και μηχανισμούς έκτακτης διακοπής συναλλαγών, ώστε να αποτρέπουν έναν εισβολέα που παραβιάζει τον υπολογιστή ενός μηχανικού —όπως συνέβη στην Binance— από το να διευρύνει τα δικαιώματα πρόσβασής του και να μεταφέρει περιουσιακά στοιχεία.
Το πρόβλημα επιδεινώνεται από τις διαφορετικές πρακτικές κυβερνοασφάλειας που εφαρμόζονται στον κλάδο, εξήγησε ο Αλεξάντερ, αλλά και από τη μακροχρόνια επιφυλακτικότητα ορισμένων υποστηρικτών των κρυπτονομισμάτων απέναντι σε ελέγχους που θεωρούν ασύμβατους με την αποκεντρωμένη φιλοσοφία του blockchain.
Η αντίληψη αυτή αντιμετωπίζει ορισμένες φορές μέτρα όπως τα όρια στα ποσά των συναλλαγών και τους αυτόματους ελέγχους των μοτίβων δαπανών ως παραβιάσεις εγγενών δικαιωμάτων ιδιωτικότητας.
«Νομίζω ότι αυτό έχει οδηγήσει λανθασμένα ορισμένους να πιστεύουν πως μηχανισμοί έκτακτης διακοπής, όπως και περισσότεροι έλεγχοι στους λογαριασμούς, θα ήταν απαράδεκτοι ή θα συγκρούονταν απόλυτα με την ανάγκη αποφυγής της λογοκρισίας», δήλωσε ο Αλεξάντερ.
«Κατά την άποψή μου, μπορείς να διαθέτεις μηχανισμούς ασφαλείας και ταυτόχρονα να διατηρείς την προστασία απέναντι στη λογοκρισία».
Η επίθεση στην Binance αποτελεί το τελευταίο περιστατικό μιας σειράς μεγάλων κυβερνοεπιθέσεων στον χώρο των κρυπτονομισμάτων, οι οποίες έχουν οδηγήσει σε κλοπές άνω των 22,3 δισ. δολαρίων από το 2021, σύμφωνα με την εταιρεία ανάλυσης δεδομένων blockchain Chainalysis.
Το μέγεθος των απωλειών έχει εντείνει τη συζήτηση για το κατά πόσον τα ανταλλακτήρια χρειάζονται πιο ομοιόμορφα πρότυπα σχετικά με την πρόσβαση στα συστήματα, τους ελέγχους συναλλαγών και τους υπόλοιπους μηχανισμούς προστασίας.
«Περιμένω ότι θα δούμε μεγαλύτερη σαφήνεια και τυποποίηση ως προς τις προσδοκίες για την κυβερνοασφάλεια και, ελπίζω, ως προς τις απαιτήσεις για την προστασία των επενδυτών και την ενίσχυση της εμπιστοσύνης», δήλωσε ο Αλεξάντερ.
«Αυτά τα περιστατικά δείχνουν γιατί πρέπει να αλλάξει η κατάσταση».
Ανταλλακτήρια crypto: Ελκυστικοί και εύκολα αναγνωρίσιμοι στόχοι
Τα ανταλλακτήρια κρυπτονομισμάτων αποτελούν ασυνήθιστα ελκυστικούς στόχους, επειδή οι χάκερ μπορούν να εντοπίζουν ψηφιακά πορτοφόλια που περιέχουν τεράστια ποσά εύκολα μεταβιβάσιμων ψηφιακών περιουσιακών στοιχείων και, σε ορισμένες περιπτώσεις, τους εργαζομένους που έχουν πρόσβαση στα συστήματα διαχείρισής τους.
Αυτό έχει καταστήσει τους μηχανικούς και τους εργαζομένους πληροφορικής πρωταρχικούς στόχους περίπλοκων επιχειρήσεων κοινωνικής μηχανικής.
Ο Άλεξ Προύντεν (Alex Pruden), διευθύνων σύμβουλος της Project Eleven, εταιρείας ασφάλειας blockchain και ψηφιακών περιουσιακών στοιχείων, δήλωσε ότι όσοι αναλαμβάνουν την άμυνα αντιμετωπίζουν ένα θεμελιώδες μειονέκτημα απέναντι στους επιτιθέμενους, οι οποίοι χρειάζεται να πετύχουν μόνο μία φορά.
«Πρόκειται για ένα εξαιρετικά δύσκολο πρόβλημα», δήλωσε ο Προύντεν.
«Οι βέλτιστες πρακτικές κυβερνοασφάλειας που είχαμε μέχρι σήμερα απλώς δεν επαρκούν για να αντιμετωπίσουν το επίπεδο απειλών που υπάρχει στον κόσμο στον οποίο ζούμε».
Οι εργαζόμενοι στην κυβερνοασφάλεια του κλάδου, πρόσθεσε, «ζουν σε έναν κόσμο διαρκούς πολέμου. Δεχόμαστε συνεχώς επιθέσεις».
Ο Προύντεν αναμένει ότι η κλοπή στην Binance θα οδηγήσει σε μεγαλύτερες επενδύσεις στην κυβερνοασφάλεια, μεταξύ άλλων και σε μέτρα προστασίας για τα εσωτερικά εργαλεία και τους πράκτορες τεχνητής νοημοσύνης, τα οποία θα μπορούσαν να διευρύνουν τις δυνατότητες ενός εισβολέα εάν παραβιαστούν.
«Βρισκόμαστε ακόμη στην αρχή αυτής της ιστορίας, αλλά πιστεύω ότι, όπως έδειξε η κυβερνοεπίθεση στην Binance, αυτά τα εργαλεία μπορούν πολύ γρήγορα να στραφούν εναντίον σου και μπορεί να είναι εξαιρετικά δύσκολο να αποκαταστήσεις τη ζημιά αφού έχει προκληθεί».
Τα ανταλλακτήρια κρυπτονομισμάτων έχουν ήδη αρχίσει να ενισχύουν τα αμυντικά τους συστήματα και να αυξάνουν την ανταλλαγή πληροφοριών μετά την επίθεση στην Binance, σύμφωνα με δημοσίευμα του Reuters στις 30 Οκτωβρίου.
Κατακερματισμένη εποπτεία και άνισο επίπεδο προστασίας
Οι ανομοιογενείς πρακτικές ασφαλείας που εντοπίζουν οι ειδικοί αντικατοπτρίζονται και στο κατακερματισμένο ρυθμιστικό σύστημα των Ηνωμένων Πολιτειών.
Σε αντίθεση με τις τράπεζες, τα αμερικανικά ανταλλακτήρια κρυπτονομισμάτων δεν λειτουργούν υπό ένα ενιαίο ομοσπονδιακό καθεστώς κυβερνοασφάλειας.
Αντίθετα, οι απαιτήσεις διαφέρουν ανάλογα με τις περιοχές όπου δραστηριοποιούνται οι εταιρείες και τις άδειες που διαθέτουν από τις επιμέρους πολιτείες.
Η Νέα Υόρκη επιβάλλει ορισμένες από τις αυστηρότερες απαιτήσεις του κλάδου.
Η Υπηρεσία Χρηματοπιστωτικών Υπηρεσιών της πολιτείας (Department of Financial Services) απαιτεί από τις αδειοδοτημένες εταιρείες να διατηρούν προγράμματα κυβερνοασφάλειας, να χρησιμοποιούν έλεγχο ταυτότητας πολλαπλών παραγόντων (multi-factor authentication) και να ορίζουν επικεφαλής ασφάλειας πληροφοριών.
Σε άλλες περιοχές, οι εταιρείες κρυπτονομισμάτων ενδέχεται να υπάγονται κυρίως στους πολιτειακούς κανόνες που διέπουν τις επιχειρήσεις μεταφοράς χρημάτων.
Τα συγκεκριμένα καθεστώτα απαιτούν γενικά από τις εταιρείες να παρέχουν στις εποπτικές αρχές πληροφορίες για τα προγράμματα κυβερνοασφάλειάς τους και να υποβάλλονται σε ελέγχους, αλλά συχνά δεν καθορίζουν συγκεκριμένες τεχνικές δικλίδες προστασίας, όπως πρότυπα κρυπτογράφησης.
Πολλά ανταλλακτήρια δεν δραστηριοποιούνται στις ΗΠΑ και συνεπώς δεν υπόκεινται σε αυτά τα πολιτειακά καθεστώτα εποπτείας, αν και ενδέχεται να λειτουργούν υπό διαφορετικές απαιτήσεις στις χώρες όπου δραστηριοποιούνται.
Αντίθετα, οι τράπεζες υπόκεινται σε ομοσπονδιακές απαιτήσεις που καλύπτουν, μεταξύ άλλων, την αξιολόγηση κινδύνων, την παρακολούθηση και την αντιμετώπιση περιστατικών ασφαλείας.
Παράλληλα, τα μεγαλύτερα τραπεζικά ιδρύματα υποβάλλονται σε συνεχείς ελέγχους από ειδικά αρμόδιες εποπτικές αρχές.