Операционный директор Bitget Wallet Элвин Кан призвал к более четким разрешениям на транзакции и средствам контроля восстановления кошелька после сообщений о взломе биржи Bitget на сумму 387,5 млн долларов, заявив, что прямое владение должно сопровождаться понятными пользователям мерами защиты.
Резюме
- Кан говорит, что общие системы подписи и администрирования могут подвергнуть множество пользователей одной утечке.
- Bitget Wallet заявляет, что его отдельный сервис самостоятельного хранения не пострадал от инцидента на бирже.
- По словам Кана, разработчики кошельков должны объяснять разрешения на расходование средств и полномочия по восстановлению.
- Европейские надзорные органы и SEC изучают средства контроля хранения через отдельные регуляторные инициативы.
Элвин Кан, операционный директор Bitget Wallet, в эксклюзивных комментариях для crypto.news заявил, что самостоятельное хранение должно уменьшать ущерб, который может причинить единственный сбой в системе безопасности, не требуя от пользователей становиться специалистами по безопасности.
По его словам, предоставление людям контроля над своими активами также возлагает больше ответственности на используемый ими кошелек, их устройство и их собственные решения. Кан сказал, что разработчики кошельков должны решать эти риски как часть продукта, включая то, как пользователи одобряют платежи и восстанавливают доступ после потери устройства.
Согласно сопроводительному заявлению компании, Bitget Wallet не пострадал от инцидента на бирже. Компания описала кошелек как отдельный сервис самостоятельного хранения, в котором пользователи сохраняют контроль над своими активами в блокчейне.
Операционный директор Bitget Wallet ставит риск общей системы в центр хранения
Для Кана центральный вопрос хранения касается того, сколько людей может пострадать при сбое общей системы. По его словам, крупные пулы активов, зависящие от общих механизмов подписи или администрирования, могут подвергнуть множество пользователей одной и той же утечке.
«Урок из недавних инцидентов безопасности заключается в том, что риск хранения в конечном счете связан с масштабом последствий», — сказал Кан.
Вместо того чтобы рассматривать биржи и кошельки для самостоятельного хранения как конкурирующие решения для всех финансовых потребностей, он утверждал, что пользователи должны иметь прямое владение, одновременно ограничивая последствия любой единой точки отказа.
В отчете, опубликованном 28 сентября, о возобновлении вывода средств Bitget подробно излагалась версия биржи о том, как злоумышленники получили внутренние учетные данные высокого уровня через уязвимость в стороннем продукте безопасности. Bitget заявила, что эти учетные данные позволили мошенническим инструкциям на вывод обойти существующие средства контроля.
По данным биржи, инцидент 24 сентября затронул части инфраструктуры ее горячих и теплых кошельков, тогда как холодные кошельки остались в безопасности, а приватные ключи не были скомпрометированы. Bitget пересмотрела свою первоначальную оценку в 351,6 млн долларов до примерно 387,5 млн долларов.
Биржа сообщила, что вывод биткоинов возобновился в 08:00 UTC 28 сентября после проверок безопасности. В том же обновлении Bitget заявила, что балансы пользовательских счетов остались незатронутыми, а ее Фонд защиты пользователей покроет финансовые потери, при этом Mandiant и SlowMist помогают в расследовании.
Четкие правила одобрения и восстановления могут снизить риски самостоятельного хранения
По словам Кана, прежде чем пользователь подпишет транзакцию, кошелек должен объяснить, сколько денег уйдет и авторизует ли это действие один платеж или позволяет приложению перемещать средства позже. По его мнению, пользователям также нужен простой способ отозвать уже предоставленные разрешения.
«Предупреждение, которое люди не могут интерпретировать, обеспечивает лишь незначительную защиту», — сказал Кан.
Что касается восстановления доступа, он призвал к столь же четким объяснениям того, что происходит при потере устройства или резервной копии. По словам Кана, пользователи должны знать, кто может помочь восстановить доступ и какими полномочиями обладает каждая сторона.
«Более легкий доступ не должен тихо воссоздавать тот же концентрированный контроль, которого самостоятельное хранение призвано избегать».
Заглядывая за пределы хранения активов, Кан ожидает, что кошельки для самостоятельного хранения станут более распространенными в качестве счетов для получения денег, хранения балансов, совершения платежей и доступа к инвестициям. Он объяснил это ожидание спросом на такие услуги в одном интерфейсе, при этом пользователи сохраняют контроль над своими активами.
Он сказал, что биржи по-прежнему обслуживают потребности в торговле, ликвидности и доступе к фиатным валютам, но использование этих услуг не должно требовать от клиента доверять все свои активы бирже. Он описал свою предпочтительную модель кастодиального хранения как «прямое владение наряду с услугами, которые люди выбирают для конкретных потребностей».
Проверка кастодиального хранения ESMA тестирует контроль транзакций и внешних провайдеров
Европейский надзор уже включает несколько операционных вопросов, поднятых Каном. Публикация от 11 июля рассматривала обзор устойчивости криптокастодианов ESMA, включая управление ключами, контроль транзакций и зависимость от внешних технологических провайдеров.
В своем объявлении от 8 июля ESMA заявила, что в ходе проверки будут оцениваться управление, управление ключами и хранением, обнаружение и реагирование на инциденты, риски смарт-контрактов и зависимости от третьих сторон. По словам регулятора, национальные органы власти изучат основанную на риске выборку авторизованных поставщиков услуг криптоактивов.
ESMA заявила, что работа будет проводиться со второй половины 2026 года по первую половину 2027 года. Объявленный график предусматривает представление окончательного отчета Совету надзоров во второй половине 2027 года.
Что касается реагирования на инциденты, Кан призвал к более быстрому обмену данными об угрозах и скоординированным усилиям по отслеживанию украденных активов. Он сказал, что как предотвращение, так и реагирование нуждаются в улучшении, вместо того чтобы оставлять пользователей ответственными за понимание каждой угрозы безопасности.
В отчете от 2 октября о перемещении украденных средств Bitget приводится вывод BlockSec о том, что злоумышленники быстро конвертировали активы, которые эмитенты могли заморозить, переместили стоимость между цепочками в Bitcoin и отправили часть BTC в транзакции CoinJoin. BlockSec основывал свой анализ на опубликованных адресах злоумышленников и снимке от 29 сентября.
Предложение SEC рассматривает институциональное самостоятельное хранение отдельно
Для американских инвесторов, использующих консультантов или регулируемые фонды, SEC предложила иную структуру кастодиального хранения. В отчете от 3 октября подробно описывается условное предложение SEC по кастодиальному хранению криптовалют, опубликованное 1 октября для инвестиционных консультантов и регулируемых фондов, включая зарегистрированные инвестиционные компании и компании по развитию бизнеса.
В своем заявлении от 1 октября комиссар Хестер Пирс пояснила, что институциональное «самостоятельное хранение» означает, что консультант хранит активы для клиентов. Она отличала такую схему от индивидуальных инвесторов, хранящих собственные активы без посредника.
Согласно предложению в том виде, как его описала Пирс, консультанту сначала потребуется определить, что для данного актива нет доступного разрешенного кастодиана, и повторять эту оценку ежеквартально. Что касается кастодиального хранения в государственной трастовой компании, она сказала, что консультанты и фонды будут оценивать государственную авторизацию и письменные гарантии перед назначением, а затем повторять эти проверки ежегодно.
Согласно реестру нормотворчества SEC, изменения остаются предложенными правилами, публичные комментарии принимаются в течение 60 дней после публикации в Federal Register под номером дела S7-2026-35.
