Bitkey, кошелек с самостоятельным хранением bitcoin, устранил уязвимость в процессах настройки восстановления и наследования 1 августа после того, как исследователь безопасности @1440000bytes сообщил о проблеме. Уязвимость была подтверждена, исправлена и отправлена в магазины приложений в тот же день, когда она была обнаружена. Средства пользователей не подвергались риску.
Что произошло и почему это не имело большого значения
Уязвимость существовала в течение определенного окна во время процесса регистрации функций восстановления и наследования Bitkey. Руководитель инженерной команды Bitkey Клей Гарретт подтвердил наличие ошибки в тот же день, когда она была обнаружена. Он отметил, что для эксплуатации этого недостатка требовались исключительные условия, что означает, что злоумышленнику понадобился бы очень специфический набор обстоятельств, чтобы даже попытаться это сделать.
Архитектура кошелька Bitkey использует многоуровневую защиту — многослойный подход к безопасности, при котором несколько независимых механизмов защиты защищают средства пользователей. Даже если бы кто-то успел эксплуатировать уязвимость в этот узкий промежуток времени, базовая архитектура кошелька предотвратила бы несанкционированный доступ к средствам.
Bitkey сообщила пользователям, что обычные операции с кошельком могут продолжаться без опасений, подчеркнув ограниченный масштаб проблемы. Исправление было отправлено в Apple App Store и Google Play Store 1 августа.
Публичная реакция: прозрачность как стратегия
2 августа Bitkey провела публичное техническое обсуждение через X Space, на котором команда подробно рассмотрела детали уязвимости, исправление и общую архитектуру безопасности, обеспечившую безопасность средств. Участники сообщества имели возможность задавать вопросы напрямую.
Компания публично поблагодарила @1440000bytes за ответственное раскрытие информации. Сопутствующие инциденты, связанные с кошельками Coldcard, привлекли внимание к различным стратегиям раскрытия и реагирования в отрасли, подчеркнув различия в том, как провайдеры кошельков коммуницируют со своими пользователями по вопросам безопасности.
Почему безопасность самохранения имеет еще большее значение, чем когда-либо
Bitkey, разработанный Block (компанией, ранее известной как Square и возглавляемой Джеком Дорси), позиционирует себя как удобное для пользователей решение для самостоятельного хранения. Его функции наследования и восстановления специально созданы для решения одной из главных проблем самостоятельного хранения: что произойдет с вашим bitcoin, если с вами что-то случится. Стоит отметить, что уязвимость существовала именно в этом наборе функций, поскольку именно эти сценарии наиболее вероятно будут использоваться случайными пользователями, когда они менее технически подкованы.
Что это значит для инвесторов
Для текущих пользователей Bitkey вывод прост: обновите приложение — ваши средства никогда не находились под угрозой. Исправление уже доступно в обоих основных магазинах приложений.