Инвесторы охладели к кошелькам: как новая «фича» подорвала доверие целой криптоиндустрии к Ledger

Криптоинвесторы в погоне за безопасностью и анонимностью угодили в ловушку, необдуманно созданную одним из крупнейших производителей холодных кошельков Ledger. Бренд представил функцию резервного копирования seed-фразы в «облако», причем власти той или иной страны при желании могут легко получить доступ к зашифрованному ключу. Инвесторы начали демонстративно выкидывать кошельки Ledger и массово переходить на аналогичные устройства конкурента — производителя Trezor, взвинтив тому рост продаж почти на 1000%. Некоторые эксперты считают, что пользователи преувеличивают свои опасения, но большая их часть все же сомневается в безопасности и целесообразности нового инструмента. 

Скандальную платную функцию под названием Recover для кошельков Nano X производитель анонсировал 16 мая. После того как пользователь подключит функцию, она разобьет seed-фразу на три фрагмента и сохранит их зашифрованные резервные копии в «облаке». При необходимости владелец кошелька может получить доступ к резервной копии фразы через подтверждение персональных данных.

«Некастодиальное хранение остается и всегда будет нашим основным принципом. Идея в том, что это ваш выбор, — можете управлять своими активами самостоятельно или иметь резервную копию с помощью Ledger Recover», — объяснили в Ledger. Точных сроков запуска инструмента в компании не назвали, но отметили, что это случится «в скором времени». По данным Wired, подписка на новую функцию будет стоить $9,99 в месяц, а «хранителями» выступят Ledger и сервисы по защите и страхованию цифровых активов Coincover и EscrowTech. Первыми доступ к новой «фиче» получат пользователи из Великобритании, ЕС, Канады и США.

Ключи широкого доступа

Криптосообщество мгновенно раскритиковало компанию за новое решение. «Это ужасная идея, НЕ включайте эту функцию», — заявил директор по информационной безопасности Polygon Labs Мудит Гупта. Он не исключил, что три компании-«хранителя» в теории сами могут восстановить ключи. К нему присоединился основатель и генеральный директор Binance Чанпэн Чжао, подметивший, что заявление о копии зашифрованной фразы вне кошелька звучит совсем иначе, чем ранние обещания Ledger, что «ключи никогда не покинут устройство».

Пользователи сошлись на том, что Recover противоречит не только ценностям самой Ledger — самостоятельному хранению активов, но и основному постулату безопасности для аппаратного кошелька — у него не должно быть программного интерфейса (API) для раскрытия seed-фразы. Критиковали функцию и за необходимость проходить процедуру регистрации (KYC; требует отправки фотографии паспорта или другого документа, удостоверяющего личность), что снова противоречит столпам конфиденциальности, которые так ценит индустрия.

В Ledger поспешили успокоить публику и объяснить, что инструмент был внедрен ради ее же блага. Своего рода преднамеренный «компромисс», нужный для привлечения клиентов и неопытных пользователей. «Когда вы не разбираетесь в технике, эта штука может быть пугающей. Нам нужно найти способ для привлечения новичков, чтобы обеспечить массовое принятие [технологии]», — уточнял в подкасте технический директор компании Шарль Гиллеме. Он заверил, что кошелек остается безопасным, несмотря на появление нового инструмента.

Сообщество такое объяснение не устроило. Пользователи вспомнили, как хакеры в 2020-м дважды крали данные клиентов Ledger: в июле после взлома системы безопасности компании в руки мошенников попал 1 млн электронных адресов клиентов, а в декабре были украдены данные почти 300 тыс. владельцев кошельков, включая их имена, телефонные номера, почтовые адреса и электронные почты. Криптоинвесторы напомнили о вымогательствах и фишинговых атаках после массовых хищений.

Единственная проблема Recover — провал пиар-сопровождения ее запуска, заявлял позже экс-CEO и акционер компании Эрик Ларшевек. При этом он признал, что власти могут вызвать «хранителей» зашифрованных фрагментов seed-фразы в суд и таким образом получить доступ к кошельку. Однако вероятность, что это произойдет, минимальна, ведь подобные действия властей возможны только в случае серьезных поводов вроде связи с терроризмом и наркотиками, успокоил Ларшевек.

С ним согласился и действующий глава Ledger Паскаль Готье. По его словам, компания раскроет исходный код нового инструмента, чтобы пользователи могли убедиться в безопасности своих активов. Готье повторил, что ситуация с Recover была вызвана «непреднамеренной коммуникационной ошибкой». «Мы приносим свои извинения за то, как это было сообщено. Мы никогда не собирались вас удивлять. Собственно, именно поэтому мы уже больше года публично говорим об этом продукте», — заявил Готье.

Пока в Ledger извинялись и пытались объяснить необходимость внедрения технологии по восстановлению ключей, ее конкурент, производитель аппаратных кошельков Trezor, отчитался о росте продаж на 900% за неделю. Компания заявила о своей приверженности тому, что «ни на каком этапе аппаратные кошельки не должны делать seed-фразу доступной ни для кого, кроме пользователя». CEO Trezor Матей Жак уточнил, что продукты производителя имеют полностью открытый исходный код.

Три способа утечки

Опасения владельцев устройств Ledger могут быть преувеличены, полагает исполнительный директор одной из крупнейших криптобирж Bitget Грейси Чен. Эксперт сомневается, что штат компании, «состоящий из лучших экспертов», мог бы допустить «серьезную оплошность» в плане безопасности, которая остается главной целью Ledger. Вторым ее аргументом в защиту стала готовность производителя выложить исходный код в открытый доступ, пишет BeInCrypto.

Однако не все эксперты придерживаются столь оптимистичного взгляда. Например, основатель Bits.media Иван Тихонов видит три способа, благодаря которым seed-фраза может попасть в руки мошенников:

• из устройства Ledger после обновления прошивки. По его словам, в этом случае заверения, что ключ хранится в защищенном сегменте и никак не может его покинуть, будут лишь мифом;

• пользователь сам может ввести фразу в кошелек Ledger Life, где она будет разбита на части и в зашифрованном виде отправлена в «облако». Но в таком случае ключ будет введен на компьютере, то есть в небезопасной среде, что лишает всякого смысла использование холодного кошелька, объясняет он;

• владелец кошелька сам введет фразу на сайте Recover, «что еще хуже»: «фраза целиком уйдет в онлайн».

«Если ключ может покинуть аппаратный кошелек, доверять такому кошельку нельзя, он будет ничем не лучше обычной программы на компьютере. Так что для компании, производящей аппаратные кошельки, первый вариант самый плохой», — заявил Тихонов. Он добавил, что в этом случае Ledger «убьет весь смысл своего продукта в угоду удобству неквалифицированных пользователей или регуляторных требований».

Какой бы безопасной ни была технология, всегда есть опасность ее взлома, уверен Павол Руснак, соучредитель SatoshiLabs, производящей кошельки Trezor. «Всегда существует риск того, что кто-то может использовать технологии генеративного ИИ, чтобы выдать себя за меня и, в конце концов, восстановить мою seed-фразу», — добавил он в разговоре с CoinDesk.

Сейчас Recover — необязательная функция, но в будущем Ledger может автоматически подключить ее для всех устройств, опасается криптосообщество. Каких-либо комментариев на этот счет в Ledger не давали, но, судя по всему, компания не собирается отступать от своих намерений пополнить пул клиентов пользователями, далекими от криптографии и криптоиндустрии. Только вот нужны ли устройства Ledger таким пользователям — большой вопрос.