Пять самых громких краж криптовалют
Взлет криптовалют, подобно Золотой лихорадке на американском Диком западе, манит обещаниями свободы и богатства, и на этот зов слетаются как лучшие, так и худшие представители человеческой породы. У преступников масса возможностей — можно ограбить людей на миллионы, практически ничем не рискуя, и, если сделать все грамотно и тщательно отмыть доходы, жить припеваючи.
Вспомним 5 самых громких историй.
5. Tether, 30,9 млн долларов, 19 ноября 2017 года
В Tether ставили целью объединить технологии блокчейна и фиатных денег, создав цифровую валюту под названием «токены США» (USDT) — их можно было использовать для торговли реальными товарами с помощью биткоина, лайткоина и эфира.
Внося на свой счет в Tether $1, пользователь получал 1 USDT, который можно было конвертировать обратно в твердую наличность.
19 ноября 2017 года злоумышленник получил доступ к основному «казначейскому» кошельку Tether и снял оттуда токенов на 30,9 млн долларов. Для транзакции он использовал биткоин-адрес, а значит, она была необратимой.
Последствия
До этого взлома Tether критиковали за связи с Bitfinex — биржей, потерявшей много денег инвесторов. Звучали очень серьезные обвинения, вплоть до того, что Bitinfex использовал активы Tether для мошеннических действий.
Чтобы исправить ситуацию, в Tether приняли меры, благодаря которым злоумышленник не смог вывести украденные деньги в обычную валюту или биткоин, но начавшаяся паника привела к снижению стоимости биткоина.
4. Ethereum, 31 млн долларов, 20 июля 2017 года
Сеть Ethereum была запущена в 2014 году, примерно через 5 лет после биткоина, и стала второй по капитализации цифровой валютой.
В полдень 20 июля хакер перевел 153 037 эфиров на 31 млн долларов из трех очень крупных кошельков, принадлежавших Swarm City, Edgeless Casino и Eternity. Неизвестному мошеннику удалось изменить принадлежность кошельков, воспользовавшись уязвимостью с множественной подписью.
Одними из первых кражу заметили разработчики из Swarm City. Они быстро уведомили разработчиков Ethereum, которые обратились к «белым хакерам» за помощью в возможном восстановлении денег.
Дальнейшие события заслуживают места в истории: «белые хакеры» вернули украденные средства, после чего защитили другие скомпрометированные аккаунты.
Они действовали так же, как преступники, то есть украли средства из подверженных уязвимости кошельков — просто не для себя. И все это произошло менее чем за день.
3. NiceHash, 4736,42 BTC, 6 декабря 2017 года
NiceHash — это словенская компания, которая помогает майнерам криптовалют покупать и продавать вычислительные мощности. Транзакции выполняются в биткоинах. Майнеры платят постепенно, без авансовых платежей, так что больших рисков у них нет. Продавцы также получают плату в биткоинах.
6 декабря серверы компании стали объектом атаки. Сначала пользователи Reddit сообщили, что они не могут получить доступ к своим средствам и совершать транзакции — когда они пытались войти в систему, им показывалось сообщение о перерыве на обслуживание сервиса.
В итоге стало известно, что сервис подвергся масштабной кибератаке, в ходе которой был взломан кошелек с 4736,42 биткоинами, которые бесследно пропали.
Последствия
Как и в случае с большинством украденных биткоинов, эти деньги, вероятно, никогда не вернутся к владельцам. Тем не менее, несмотря на большие потери, NiceHash смог продолжить работу, но генеральный директор и основатель Марко Кобаль подал в отставку, уступив место новой команде.
Компания сумела сохранить доверие инвесторов и занялась укреплением защиты своих систем.
2. Bitfinex, 119 756 BTC, 4 августа 2016 года
В 2016 году Bitfinex была крупнейшей в мире биткоин-биржей (позже ее обогнала ANX). 4 августа неизвестные люди похитили около 119 756 биткоинов со счетов клиентов, несмотря на несколько уровней защиты.
Позже стало известно, что перевести средства позволила уязвимость множественной подписи. Вот как это устроено: у Bitfinex есть 2 ключа, а у другой блокчейн-компании, BitGo, третий ключ, и вместе эти ключи позволяют совершить перевод биткоинов (или другой криптовалюты).
Тогда были предположения, что злоумышленник, вероятно, захватил ключ BitGo и использовал его для подписания транзакций, но BitGo объявила в социальных сетях, что ни один из ее серверов не был взломан.
Bitfinex открыто рассказала о произошедшем и заверила недовольных клиентов, что постарается компенсировать их потери.
В итоге они выкупили часть токенов, выпущенных в ходе ICO, чтобы выплатить средства пострадавшим клиентам, но потерянные деньги так и не удалось отследить. Bitfinex по-прежнему занимается обменом криптовалют (BTC, LTC, ETH) и традиционных фиатных валют.
1. Mt. Gox, 744 408 BTC, 19 июня 2011 года
Взлом Mt. Gox стал самой большой кражей биткоинов в истории, и, в отличие от других случаев, это была работа высокопрофессиональных хакеров, использующих сложные уязвимости — в течение нескольких лет они практиковали небольшие кражи и мошеннические схемы.
Самый известный из этих эпизодов произошел в июне 2011 года. Хакер (или группа хакеров) предположительно получили доступ к компьютеру, принадлежащему одному из аудиторов, и использовали уязвимость в системе безопасности для доступа к серверам Mt. Gox, после чего изменили номинальную стоимость биткоина на 1 цент за монету.
Затем они вывели около 2 тыс биткоинов. Некоторые клиенты, сами того не зная, провели сделки по этой заниженной цене, суммарно на 650 BTC, и, несмотря на то, что взлом попал в заголовки газет по всему миру, ни одного биткоина вернуть не удалось.
Чтобы повысить доверие инвесторов, компания компенсировала украденные монеты, поместила большую часть оставшихся средств в оффлайн-хранилище, и следующую пару лет считалась самым надежным биткоин-обменником в мире.
Однако это была лишь иллюзия надежности. У компании было партнерство с дочерней американской компанией Coinlab. Как-то так вышло, что Mt. Gox работала в США без лицензии, чем привлекла внимание федеральных властей. Кроме того, Coinlab подала на 75-миллионный иск за нарушение контракта, и последующее расследование привело к заморозке 5 млн долларов, что нанесло существенный удар по репутации компании.
Но это оказалась лишь верхушка айсберга. Оказывается, проблемы организации были гораздо серьезнее, причем руководство о них, вероятно, даже не знало.
Генеральный директор Mt. Gox, Марк Карпелес, изначально был разработчиком, но со временем он перестал вникать в технические подробности, греясь в лучах славы — ведь он создал самую большую в мире платформу для обмена криптовалют. На тот момент Mt. Gox обрабатывала более 70% всех сделок с биткоином.
Проблема была в низкой культуре разработки, принятой в компании — здесь даже не использовались системы контроля версий. Причем разработчикам не удавалось ничего изменить, поскольку на любое действие нужно было одобрение генерального директора.
И, конечно, нашлись желающие воспользоваться технологической слабостью сервиса. В какой-то момент хакеры сделали так, что биткоины стало можно купить по любой цене, и в течение нескольких минут были проданы монеты на миллионы долларов — по большей части за гроши. Мировые цены на биткоин стабилизировались уже через несколько минут, но было уже поздно.
Последствия
Когда пыль осела, оказалось, что Mt. Gox потеряла около 850 тыс. биткоинов. Бирже пришлось объявить о банкротстве, сотни тысяч человек потеряли средства, а японские власти арестовали генерального директора Марка Карпелеса за мошенничество. Он не признал себя виновным и впоследствии был освобожден.
В 2014 году власти восстановили часть биткоинов, оставшихся на старых адресах, но не стали передавать их бирже, а создали траст для возмещения убытков кредиторов.
Бонус: взлом самой системы биткоина, 2010 год
В 2010 году злоумышленник обнаружил ошибку в программном обеспечении биткоина и воспользовался ей. Ему удалось создать отдельный блок (# 74638) с транзакцией на 184 млрд биткоинов, то есть на 183 958 000 000 больше, чем может существовать в природе.
Транзакция состояла из трех частей:
Двух одинаковых исходящих по 92 млрд биткоинов.
Третья с комиссией за транзакцию.
Двух одинаковых исходящих по 92 млрд биткоинов.
Третья с комиссией за транзакцию.
Сразу стало понятно, что кто-то воспользовался уязвимостью, то ли попытавшись получить огромную прибыль, то ли ради злой шутки.
Члены сообщества забили тревогу и организовали жесткое ветвление блокчейна, исключив ветку, в которой существовала эта транзакция, и заодно исправив ошибку, которая сделала взлом возможным.
Все биткоин-инвесторы знают, что в этой сети никогда не будет более 21 млн токенов, но транзакция на квадриллион долларов — это было впечатляюще.
