Coinbase kertoi 4. marraskuuta, ettei Binanceen 29. lokakuuta kohdistunut tietoturvaloukkaus vaikuttanut sen järjestelmiin tai asiakkaiden varoihin. Yhtiö esitteli samalla tapoja, joilla se pyrkii suojaamaan asiakkaiden kryptovaroja.
15
Keskeinen luku oli yhtiön ilmoitus siitä, että yli 99 % asiakasvaroista on kylmäsäilytyksessä eli offline-tilassa, poissa jatkuvasta internet-yhteydestä. Kuumalompakoissa pidetään puolestaan rajattu määrä varoja päivittäisiä nostoja ja muita tarpeita varten, lähteiden mukaan.
4
5
20
21
Mitä turvatoimia Coinbase kertoi käyttävänsä?
Coinbase kuvasi hajautettuja allekirjoitusavaimia sekä nostoihin liittyviä rajoituksia ja hätäkatkaisuja.
14
15 Raportoinnissa mainittiin myös poikkeavan toiminnan tunnistaminen ja varojen erottelu yrityksen omista varoista.
4
17
54
Nämä tiedot on kuitenkin syytä lukea yhtiön omana kuvauksena sen käytännöistä. Tässä käytettävissä olevat lähteet eivät riippumattomasti vahvista yli 99 prosentin lukua tai sitä, miten tehokkaasti eri kontrollit estäisivät hyökkäyksen. Myöskään se, että asiakasvarat ovat väitetysti täysin katettuja ja erillään yhtiön varoista, ei yksin todista nostojen hyväksyntäprosessin turvallisuutta.
54
Miksi Binance-tapaus nosti esiin muutakin kuin avainten säilytyksen?
Binanceen kohdistuneessa hyökkäyksessä anastettiin arviolta noin 6,34 miljardin dollarin arvosta varoja. Yhtiön alustavan kuvauksen mukaan hyökkääjät pääsivät järjestelmiin murretun työntekijän laitteen kautta; raportoinnissa kerrottiin myös väärennetyistä rekrytointihaastatteluista ja sisäisen tekoälytyökalun hyödyntämisestä.
8
11
12
Raporttien mukaan hyökkäyksessä hyväksyntäprosesseja käytettiin luvattomien nostojen tekemiseen sen sijaan, että yksityiset avaimet olisi varastettu.
4
5 Siksi kylmäsäilytyksen osuus ei yksin kerro, miten turvallisesti varojen siirrot hyväksytään. Tärkeitä ovat myös nostorajat, hyväksyntäkäytännöt ja kyky keskeyttää epäilyttävä toiminta.
14
15
Coinbasen viesti oli, ettei se ollut kärsinyt Binance-tapauksesta ja että sillä on useita suojauskerroksia. Se on vakuutus yhtiön tilanteesta ja toimintatavoista, ei lupaus siitä, ettei vastaava hyökkäys voisi koskaan onnistua.
15