چرا ایمن نگه داشتن کلیدهای خصوصی همیشه مانع سرقت ارزهای دیجیتال نمی‌شود؟

در تاریخ ۶ سپتامبر، تقریباً ۴۰۰۰ بیت‌کوین از ذخایر صرافی Liquid از طریق یک برداشت مورد تأیید شبکه خارج شد، در حالی که کلیدهای خصوصی مورد استفاده برای این تراکنش به سرقت نرفته بودند. یک نرم‌افزار، برداشتی را پذیرفته بود که هرگز نباید تأیید می‌شد.

پلتفرم Liquid به کاربران اجازه می‌دهد تا توکن‌های مبتنی بر بیت‌کوین را در یک بلاکچین جانبی برای تراکنش‌های سریع‌تر و خصوصی‌تر جابجا کنند. در این سیستم، بیت‌کوین به یک صندوق ذخیره مشترک واریز می‌شود و کاربران در ازای آن توکن‌هایی به نام L-BTC دریافت می‌کنند که هر کدام معادل یک بیت‌کوین است. هنگام بازخرید این توکن‌ها، بیت‌کوین معادل از صندوق ذخیره خارج می‌شود.

طبق بازسازی حمله توسط TRM Labs، مهاجمان از یک نقص نرم‌افزاری برای ایجاد L-BTC بدون واریز بیت‌کوین واقعی استفاده کرده و سپس آن توکن‌های بی‌ارزش را با بیت‌کوین‌های واقعی مبادله کردند. در واقع، اپراتورهای مسئول تأیید برداشت‌ها به اطلاعات نادرستی اعتماد کردند.

درسی از هک Liquid: کلیدهای خصوصی همه‌چیز نیستند

اگر سال‌ها شنیده‌اید که حفاظت از کلیدهای خصوصی به معنای حفاظت از رمزارزهای شماست، هضم این موضوع کمی زمان می‌برد. کلیدهای خصوصی اسراری هستند که تراکنش‌ها را تأیید می‌کنند و دور نگه داشتن آن‌ها از دست سارقان ضروری است. اما نرم‌افزار همچنان می‌تواند از این کلیدها برای تأیید یک پرداخت اشتباه استفاده کند. وضعیتی را تصور کنید که چندین نفر با استناد به یک موجودی حساب نادرست، یک برداشت را امضا می‌کنند.

وقتی چنین اتفاقی می‌افتد، دیگر به دنبال توضیح فنی نیستید و با این سؤال میلیارد دلاری روبرو می‌شوید: چه کسی خسارت را پرداخت می‌کند؟

پیچیدگی‌های بیمه در دنیای رمزارزها

بیمه رمزارزی می‌تواند کمک‌کننده باشد، اما صرف داشتن یک بیمه‌نامه ممکن است راه‌حلی سریع و آسان نباشد. یک شرکت ممکن است برای زیان‌های خاص یا ادعاهای مطرح‌شده علیه خود بیمه باشد، اما این به معنای تعهد به بازپرداخت کامل وجوه به همه مشتریان نیست. حتی زمانی که یک شرکت بیمه خسارت را پرداخت می‌کند، ممکن است مبلغ آن کمتر از مقدار لازم برای جایگزینی کوین‌های از دست رفته باشد.

برای درک این موضوع، باید به فاصله بین ادعای بیمه شرکت و حساب مشتری نگاه کنیم. اینجاست که وعده «حمایت مالی» می‌تواند معنایی کاملاً متفاوت از آنچه مردم انتظار دارند، پیدا کند.

شرکت بیمه است، اما آیا شما هم هستید؟

کوین‌بیس (Coinbase) در توضیحات عمومی بیمه خود نمونه خوبی ارائه می‌دهد. این شرکت می‌گوید بیمه جرایم آن «بخشی» از دارایی‌های دیجیتال نگهداری‌شده در سیستم‌های ذخیره‌سازی‌اش را در برابر سرقت، از جمله نقض‌های امنیت سایبری، پوشش می‌دهد. کوین‌بیس همچنین هشدار می‌دهد که کل خسارت‌ها ممکن است از پوشش بیمه فراتر رود و حتی در صورت تحت پوشش بودن حادثه، مشتریان با زیان مواجه شوند.

این بیمه‌نامه زیان‌های ناشی از دسترسی غیرمجاز به حساب شخصی به دلیل به سرقت رفتن اطلاعات ورود را پوشش نمی‌دهد. بنابراین، دو مشتری با یک نتیجه یکسان (گم شدن پول از حسابشان) ممکن است بسته به چگونگی وقوع حادثه، پوشش بیمه متفاوتی داشته باشند.

تعهدات یک شرکت در قبال شما نیز از بیمه آن جداست. اگر بدهی شرکت به مشتریان بیش از مبلغ پرداختی بیمه‌گر باشد، باید منبع دیگری برای جبران این تفاوت پیدا کند. بنابراین، صرفاً دانستن اینکه یک پلتفرم بیمه دارد، اطلاعات کافی در مورد میزان حمایت مالی از شما ارائه نمی‌دهد.

 ارزش دلاری یا بازگشت کوین‌ها: تفاوت کلیدی در جبران خسارت

حتی یک پرداخت توافقی نیز نیازمند تعریف دقیق چیزی است که جایگزین می‌شود. افرادی که بیت‌کوین خود را از دست داده‌اند، ممکن است انتظار داشته باشند همان تعداد کوین را پس بگیرند، اما توافقنامه جبران خسارت ممکن است به جای آن، یک مبلغ دلاری مشخص را تعیین کند.

یک سناریوی فرضی را در نظر بگیرید: شما یک بیت‌کوین به ارزش ۸۰,۰۰۰ دلار را از دست می‌دهید. فرض کنید جبران خسارت روی همین مبلغ ثابت شده است، اما زمانی که پول به شما پرداخت می‌شود، قیمت بیت‌کوین به ۱۰۰,۰۰۰ دلار رسیده است. شما ۸۰,۰۰۰ دلار وعده داده شده را دریافت می‌کنید که اکنون تنها ۰.۸ بیت‌کوین می‌خرد. اگرچه مبلغ دلاری به طور کامل بازپرداخت شده، اما یک‌پنجم از دارایی بیت‌کوین اصلی شما هنوز از دست رفته است.

نکته اینجاست که توافقنامه تعیین می‌کند چه کسی ریسک نوسانات قیمت را متحمل می‌شود. قراردادها می‌توانند از تاریخ‌های ارزش‌گذاری متفاوتی استفاده کنند یا جایگزینی را به صورت کوین ارائه دهند.

مسئولیت‌پذیری پلتفرم‌ها و آنچه کاربران باید بدانند

این پیچیدگی‌ها محدودیت توصیه «خودتان تحقیق کنید» (DYOR) را آشکار می‌کند. کمتر کسی می‌تواند نرم‌افزار تأیید برداشت‌های بیت‌کوین خود را بازرسی کند و تعداد کمتری می‌توانند شکست‌های احتمالی آن را با یک بیمه‌نامه که شاید هرگز نبینند، مقایسه کنند.

انتخاب یک سرویس مالی نباید به این سطح از تخصص نیاز داشته باشد. ارائه‌دهندگان خدمات باید سیاست‌های بازپرداخت خود را به همان وضوحی که کارمزدها را توضیح می‌دهند، بیان کنند: کدام زیان‌ها را جبران می‌کنند و آیا بازپرداخت به صورت کوین است یا دلار. آن‌ها همچنین باید توضیح دهند که چگونه شکاف بین بدهی به مشتریان و پرداختی بیمه را پر خواهند کرد.

درس بزرگ هک Liquid برای هر کسی که به شرکتی برای محافظت از دارایی‌های خود اعتماد می‌کند این است: امنیت، احتمال وقوع ضرر را کاهش می‌دهد، در حالی که حمایت مالی، نحوه تقسیم آن ضرر را تعیین می‌کند. مشتریان شایسته آن هستند که قبل از تحمل زیان، سهم خود را از آن بدانند.

این مطلب صرفاً جنبه اطلاع‌رسانی دارد و نباید به عنوان مشاوره مالی یا سرمایه‌گذاری در نظر گرفته شود.