Фрази-посівні: 12 слів, які стоять між вами та втратою всього

Ці слова — не пароль. Це самі гроші.

Початкова фраза, зазвичай 12 або 24 слова, вибрані зі стандартизованого списку з 2 048 слів, — це не облікові дані для входу, що відкривають доступ до коштів, які зберігаються десь інде. Математично це і є сам гаманець. Кожне з цих слів кодує частину сирої ентропії, яку детермінований алгоритм (визначений у стандарті під назвою BIP39) перетворює на головний приватний ключ, і кожна біткойн-адреса, яку гаманець коли-небудь генерував або коли-небудь згенерує, походить від цього єдиного ключа.

Не існує жодної корпоративної бази даних, що зберігає його копію, жодної служби підтримки, яка могла б допомогти відновити забутий ключ, і жодної процедури «забули пароль». Той, хто може надати ці слова, контролює кожну монету, яку можна отримати за допомогою цих слів (миттєво та безповоротно).

Саме тому крадіжка, що сталася в січні, відбулася без жодних технічних втручань. Компанія ZeroShadow, що спеціалізується на криміналістичному аналізі блокчейнів і яка згодом допомогла відстежити вкрадені кошти, описала цей випадок як результат «соціальної інженерії, а не будь-якого порушення безпеки програмного забезпечення гаманця чи інфраструктури приватних ключів».

Зловмиснику не потрібно було нічого зламувати. Йому просто потрібно було, щоб жертва ввела 12 слів не туди, після чого він діяв швидко: приблизно 139 мільйонів доларів у біткойнах та 153 мільйони доларів у лайткойнах були розподілені між мостами THORChain, конвертовані через сервіси миттєвого обміну на монеро та за кілька хвилин переведені через кілька рівнів ланцюгів-оболонок.

Команді моніторингу ZeroShadow вдалося виявити та заморозити близько 700 000 доларів з цієї суми протягом 20 хвилин — це рідкісний випадок часткового порятунку, який нагадує про те, наскільки незначну частку викрадених фраз-насіння зазвичай вдається взагалі повернути.

Чому 12 слів — це насправді величезне число

Кожне слово BIP39 несе 11 бітів ентропії, оскільки список слів містить рівно 2 048 (2^11) записів. Фраза з 12 слів містить приблизно 128 бітів загальної ентропії з урахуванням вбудованої контрольної суми, а фраза з 24 слів — 256 бітів.

Це не просто «більші» числа, ніж у типового пароля, — вони астрономічно більші. Перебір усіх можливих комбінацій повної фрази з 12 слів, навіть при надзвичайно щедрій швидкості в 1 мільярд спроб на секунду, зайняв би близько 10^22 років. Вік Всесвіту становить приблизно 13,8 мільярда років.

Не існує реалістичної кількості обчислювальної потужності в майбутньому, яка б змогла подолати цей розрив; вгадування повної, невідомої початкової фрази не є ризиком, на який хтось повинен розраховувати.

Небезпека полягає не в математиці, а в розкритті інформації. Якщо навіть кілька слів стануть відомими, або зловмисник дізнається деякі з них з фотографії, хмарної резервної копії чи в результаті шахрайства з імітацією служби підтримки, простір пошуку, що залишився, скоротиться катастрофічно, а не поступово. Наведена вище діаграма показує, чому: якщо 6 із 12 слів уже відомі, то для розшифрування решти за тією ж швидкістю підбору знадобиться, за оцінками, 1 169 років (що все ще є безпечним).

Але коли відомо 7 слів, цей час скорочується до менше ніж року. При 8 відомих словах — це кілька годин. При 10 або 11 відомих словах — це мілісекунди. Рівень безпеки не знижується лінійно у міру витоку слів; він падає стрімко, і саме тому розкриття «лише перших шести слів» або «половини моєї фрази» не є суттєво безпечнішим, ніж розкриття всього тексту.

Єдина функція, створена для виявлення помилок, а не зловмисників

Контрольна сума BIP39 існує з набагато простішої причини, ніж захист від підбору: вона виявляє помилки в наборі. Останнє слово фрази-посіву не є суто випадковим; кілька його бітів — це контрольна сума, обчислена на основі інших слів, щоб гаманець міг перевірити, чи правильно було введено фразу.

Запишіть одне слово неправильно — і є дуже висока ймовірність, що гаманець позначить фразу як недійсну в той самий момент, коли ви спробуєте її відновити, замість того, щоб мовчки створити гаманець з іншим, порожнім балансом. Це невелика деталь конструкції, але саме завдяки їй спотворена резервна копія зазвичай одразу ж дає про себе знати, а не перетворюється на катастрофу, що розвивається в уповільненому темпі й виявляється лише через кілька місяців.

Мільйони монет доводять, що більший ризик — це не крадіжка

Незважаючи на всю увагу, яку привертає фішинг-крадіжка на суму 282 мільйони доларів, набагато більша й непомітніша причина втрат є простішою: люди втрачають доступ до власних слів. Оцінки різняться, але аналітична компанія Chainalysis, що спеціалізується на блокчейні, оцінює, що аж 23% усіх видобутих біткойнів (кілька мільйонів BTC із приблизно 19,8 мільйона, видобутих на сьогодні) стали назавжди недоступними, здебільшого через забуті фрази, знищені резервні копії та смерть власників без будь-якого плану спадкування цих фраз. Ні хакерів, ні вразливостей, ні фішингових сторінок — лише гаманець, який вже ніхто не може відкрити, і в якому зберігаються монети, що ніколи більше не будуть переміщені.

Ось у чому полягає справжня вага фрази-насіння: це не просто пароль, який потрібно запам’ятати, а єдиний, незамінний доказ права власності на актив, для якого взагалі не існує механізму відновлення. Якщо її записати неправильно, вона безпечно вийде з ладу. Якщо її навіть частково розкрити, безпека швидко зруйнується. Якщо її повністю втратити, не маючи ніяких інших запасних варіантів, біткойни, що за нею стоять, просто перестануть існувати для будь-кого.