Una risoluzione criptata per il nuovo anno: modernizza l’infrastruttura di sicurezza

Si può affermare con certezza che il 2023 è stato un anno eccezionale per lo spazio delle risorse digitali. Bitcoin (BTC) ha superato il suo massimo precedente e molte altre importanti criptovalute hanno raggiunto i livelli più alti dal periodo di massimo splendore del 2023 e all’inizio del 2023. In tutto il settore dei servizi finanziari, le voci istituzionali stanno esprimendo un rinnovato interesse per le risorse digitali. La crescita e la maturazione di questo spazio è stata impossibile da ignorare, suscitando molto ottimismo tra coloro che costruiscono le piattaforme e i sistemi su cui gira.

Sfortunatamente, non tutti i titoli dei giornali dello scorso anno sono stati positivi. Diversi noti scambi di criptovalute e altre organizzazioni sono stati violati, il che ha portato a perdite significative. Eventi come questi non solo danneggiano la reputazione di un’azienda e sono potenzialmente devastanti per gli investitori, ma erodono anche la fiducia conquistata a fatica nello spazio delle risorse digitali tra gli investitori istituzionali e il pubblico.

Molti di questi attacchi avrebbero potuto essere evitati se le aziende in questione avessero adottato misure proattive per modernizzare la propria infrastruttura tecnologica. Mentre chiudiamo questo anno vorticoso per le risorse digitali, una delle principali risoluzioni del settore per il 2023 dovrebbe essere quella di riesaminare il suo approccio alle infrastrutture e apportare modifiche per garantire che gli investitori di tutti i tipi possano commerciare ed effettuare transazioni con sicurezza, efficienza e tranquillità.

Esaminiamo tre degli eventi di pirateria informatica più consequenziali del 2023 ed esaminiamo come un approccio più intelligente all’infrastruttura avrebbe potuto portare a un risultato diverso.

KuCoin hack: $ 275 milioni di fondi dei clienti rubati

Il 25 settembre, l’exchange di criptovalute KuCoin è stato oggetto di un importante hack che ha colpito i suoi hot wallet Bitcoin, Ether (ETH) ed ERC-20. Sebbene le analisi iniziali suggerissero che gli hacker avessero rubato circa 150 milioni di dollari, le stime hanno iniziato ad aumentare nei giorni successivi, rendendolo uno dei più grandi eventi di hacking nella storia delle risorse digitali..

Relazionato: KuCoin hack spacchettato: più criptovalute probabilmente rubate di quanto si temesse

A quanto pare, l’hack è stato il risultato del furto di chiavi private. Sebbene siano ancora prevalenti nello spazio delle risorse digitali, le chiavi private significano che ci sarà sempre un singolo punto di errore attraverso il quale i malintenzionati possono rivendicare l’accesso illimitato agli hot wallet. In parole povere, sono un rischio aziendale.

Un approccio migliore sarebbe stato quello di sfruttare i protocolli di calcolo multipartitici, che eliminano la necessità di chiavi private e firmano ogni transazione in modo sicuro e distribuito, insieme a un meccanismo di governance e controllo forzato.

Nel caso KuCoin, anche se lo scambio fosse stato violato con successo, l’hacker non sarebbe in grado di eseguire alcuna transazione non autorizzata dal motore delle politiche fornite dall’infrastruttura dell’istituto.

OKEx congelamento del ritiro

Per cinque settimane in ottobre e novembre, gli investitori non sono stati in grado di effettuare prelievi dall’exchange di criptovalute OKEx. In una lettera ai clienti, OKEx rivelato che uno dei suoi detentori di chiavi private stava collaborando con un’indagine di polizia, che li ha tenuti lontani dall’azienda e ha impedito il completamento del suo processo di autorizzazione multisignatura.

Per una piattaforma che gli utenti fanno leva per prendere importanti decisioni di investimento, l’idea che una singola persona venga compromessa potrebbe comportare la disabilitazione di una funzionalità critica per oltre un mese è chiaramente insostenibile.

C’è una lezione qui: quando le aziende utilizzano le funzionalità blockchain progettate per la sicurezza per implementare una politica, il risultato è un’inflessibilità schiacciante. Questo è uno dei paradossi dello spazio degli asset digitali: le transazioni blockchain sono sicure e irreversibili, ma senza il giusto approccio, quella stessa rigidità può portare al disastro se le cose vanno male.

Per evitare ciò, le aziende devono garantire che la loro infrastruttura includa un motore di policy che, pur non compromettendo la sicurezza, consenta un controllo delle policy più flessibile per più approvatori, inclusa la separazione tra firma e approvazione delle transazioni. Con questo tipo di soluzione in atto, la capacità di OKEx di operare pienamente non sarebbe dipesa dalla disponibilità di nessuna persona chiave.

Nexus Mutual breach: $ 8 milioni rubati

Questi eventi di hacking non si sono limitati agli scambi, come evidenziato dalla violazione di dicembre di Nexus Mutual, una piattaforma finanziaria decentralizzata che funge da alternativa all’assicurazione. L’hacker è riuscito ad accedere al dispositivo personale del CEO Hugh Karp e ad installare una versione compromessa di MetaMask, che ha portato Karp a firmare inavvertitamente una transazione che ha inviato 370.000 NXM, del valore di 8,2 milioni di dollari, a un indirizzo controllato da un utente malintenzionato.

Il problema qui ha a che fare con i portafogli gestiti localmente. Questi portafogli locali non sono in grado di fornire un motore di policy fuori banda, quindi non c’è modo di verificare che un contratto e l’indirizzo della controparte siano inseriti nella whitelist, che l’importo e l’emittente siano conformi alla politica aziendale o che ci siano altri approvatori per determinati parametri di transazione.

Coinvolgere una terza parte con un approccio più flessibile e sicuro all’infrastruttura è il modo per affrontare questi rischi. Ciò è particolarmente importante per ridurre la manipolazione dell’indirizzo della controparte, che è un rischio in molti scenari. Anche nell’improbabile caso in cui un provider come questo venga violato, sono in atto misure di salvaguardia per verificare gli indirizzi della controparte, offrendo alle aziende più linee di difesa.

Conclusione

Sebbene le risorse digitali abbiano acquisito una notevole quantità di slancio negli ultimi mesi, molte organizzazioni devono ancora migliorare la propria infrastruttura di sicurezza prima che possa iniziare la vera adozione delle risorse digitali.

Questo non ha lo scopo di castigare queste aziende, che continuano a svolgere un lavoro importante per servire il settore, ma di identificare dove dovrebbero concentrarsi per raggiungere la crescita futura e portare le risorse digitali al mainstream.

Per tutti questi problemi – sicurezza della chiave privata, struttura delle autorizzazioni, portafogli locali e altro ancora – esistono approcci che possono portare a transazioni più efficienti e senza stress e meno titoli che fanno scattare un campanello d’allarme per gli investitori tradizionali che tutti noi vogliamo raggiungere.

I punti di vista, i pensieri e le opinioni qui espressi sono esclusivamente dell’autore e non riflettono o rappresentano necessariamente i punti di vista e le opinioni di Cointelegraph.

Itay Malinger è co-fondatore e CEO di Curv, una società di infrastrutture per la sicurezza degli asset digitali. Si avvale di oltre 15 anni di esperienza nella sicurezza informatica sia nel settore pubblico che in quello privato. In precedenza, Itay era il direttore dei prodotti per la sicurezza aziendale presso Akamai Technologies.