Bitkey, самоконтрольний гаманець bitcoin, усунув уразливість у процесах налаштування відновлення та спадкоємності 1 серпня після того, як дослідник безпеки @1440000bytes повідомив про цю проблему. Помилку було підтверджено, виправлено та надано до магазинів додатків того ж дня, коли її було повідомлено. Кошти користувачів не перебували під загрозою.
Що сталося і чому це не малило великої значущості (багато)
Уразливість існувала в певний проміжок часу під час процесу реєстрації функцій відновлення та спадкоємності Bitkey. Лідер інженерного відділу Bitkey Клей Гарретт підтвердив цю помилку в той самий день, коли її було виявлено. Він зазначив, що для експлуатації цієї недоліку були необхідні виняткові умови, що означає, що зловмиснику потрібен був дуже специфічний набір обставин, щоб навіть спробувати це зробити.
Архітектура гаманця Bitkey використовує захист у кілька рівнів — шаровий підхід безпеки, при якому кілька незалежних заходів захищають кошти користувачів. Навіть якби хтось вдалося експлуатувати вразливість під час цього вузького вікна, основна архітектура гаманця запобігла б несанкціонованому доступу до коштів.
Bitkey повідомила користувачів, що звичайні операції з гаманцем можуть продовжуватися без занепокоєння, підкресливши обмежений масштаб проблеми. Патч було надіслано як у Apple App Store, так і у Google Play Store 1 серпня.
Публічна відповідь: прозорість як стратегія
2 серпня Bitkey провів публічну технічну дискусію через X Space, під час якої команда розглянула деталі вразливості, виправлення та загальну архітектуру безпеки, яка забезпечила безпеку коштів. Учасники спільноти мали можливість прямо задавати питання.
Компанія публічно подякувала @1440000bytes за відповідальне розголошення. Паралельні інциденти, пов’язані з гаманцями Coldcard, привернули увагу до різних стратегій розголошення та реагування в галузі, підкресливши різницю в тому, як провайдери гаманців комунікують зі своїми користувачами щодо питань безпеки.
Чому безпека самоконтролю має ще більше значення, ніж коли-небудь
Bitkey, розроблений Block (компанією, раніше відомою як Square, яку очолює Джек Дорсі), позиціонує себе як зручний для користувачів розв’язок для самоконтролю. Його функції спадкоємності та відновлення спеціально розроблені для вирішення однієї з найбільших проблем самоконтролю: що станеться з вашим bitcoin, якщо з вами щось трапиться. Варто зазначити, що вразливість існувала саме в цьому наборі функцій, оскільки саме ці сценарії найімовірніше використовуватимуть не технічно підковані користувачі, коли вони менше зосереджені на технічних аспектах.
Що це означає для інвесторів
Для поточних користувачів Bitkey висновок простий: оновіть додаток — ваші кошти ніколи не перебували під загрозою. Патч вже доступний у обох великих магазинах додатків.