Крупнейший регулируемый криптоброкер Израиля Bits of Gold сообщил о киберинциденте: под угрозой оказались персональные данные примерно 200 тысяч клиентов — фактически всей базы. Компания подчёркивает, что средства, монеты, пароли, копии документов и платёжные реквизиты не затронуты. Взломали не саму компанию: доступ получили через стороннего поставщика программного обеспечения.

Коротко: что произошло

По заявлению компании, из системы могли уйти полные имена, номера удостоверений личности, адреса электронной почты, телефоны и адреса подключения. Холодные хранилища и учётные записи не пострадали.

Источник проблемы — не прямая атака на брокера: компрометация произошла у компании-подрядчика, чьим программным обеспечением он пользуется, и описана как часть более широкой международной истории. Компания обнаружила несанкционированный доступ к вспомогательной системе для анализа данных, заблокировала его, отключила систему и привлекла специалистов по расследованию.

Отмечу расхождение: часть публикаций утверждает, что состав утёкших данных публично не раскрывался. Перечень выше приводится по сообщению израильского делового издания со ссылкой на компанию.

Почему «средства не пострадали» — слабое утешение

Формулировка успокаивает и в техническом смысле верна: холодное хранилище защищает монеты, к ним никто не подобрался. Проблема в том, что украдено не то, что оно защищает.

Комплект «имя плюс номер документа плюс телефон плюс почта» — рабочий набор для трёх типов атак: убедительное письмо от имени брокера с вашими настоящими данными, перевыпуск сим-карты с перехватом кодов подтверждения и, в худшем случае, физическое давление, когда известно, кто владеет криптовалютой и где его искать.

Прецедент есть: похожая утечка у американской биржи в прошлом году затронула около 70 тысяч человек, и оценка возможного ущерба доходила до 400 миллионов долларов — при том что кошельки биржи тоже никто не трогал.

Холодный кошелёк хранит ключ, а не личность. Ключ можно поменять за десять минут; имя, номер паспорта и адрес не меняются никогда.

Кто создаёт эту базу данных

Вот наблюдение, ради которого стоит смотреть на статус пострадавшего. Bits of Gold — не серый обменник, а лицензированный брокер, получивший первую в стране лицензию поставщика услуг с виртуальными активами ещё в 2022 году. Собирать удостоверения личности он обязан по закону.

Отсюда неудобная симметрия. Требование идентифицировать клиента создаёт то, чего у пользователя самостоятельного кошелька не существует, — досье, связывающее имя с криптовалютным капиталом. Регулирование снижает один класс риска, мошенничество площадки, и порождает другой, утечку личности. Второй риск не назван, не измерен и ни в какие нормативы не входит.

Речь не о том, что проверка клиента не нужна, а о том, что у неё есть цена, которую платит клиент, — и о ней не говорят ни при открытии счёта, ни в отчётах о соблюдении требований.

Параметры инцидента

Что означает вектор через подрядчика

Вывод шире одного случая. Периметр безопасности компании не заканчивается на её серверах: он включает каждого поставщика, которому переданы данные, — поддержку, аналитику, рассылки, логистику, платёжный сервис.

Здесь брокер вообще не был целью. Атаковали того, чьим продуктом он пользовался, а клиентские данные достались нападающему побочно. Проверить этот слой пользователь не может: он видит сайт брокера и его лицензию, а не список подрядчиков.

Схема повторяющаяся: данные владельцев аппаратных кошельков недавно утекли через компанию-доставщика, а французское досье на 678 тысяч человек ушло из налоговой системы. Ни разу не ломали ни кошелёк, ни блокчейн.

Что делать клиенту

Пароль менять бессмысленно, он не утекал; менять нужно поведение. Считать любое входящее письмо или звонок «от брокера» с вашими настоящими данными вероятной попыткой обмана и связываться с компанией только самостоятельно, по адресу, набранному вручную.

Дальше — убрать коды подтверждения из СМС в приложение или на аппаратный ключ, потому что телефон становится точкой входа при перевыпуске сим-карты, и не обсуждать публично размер своих активов: связка «имя — крипта» теперь может лежать в чужой базе. Общая картина известна: три четверти краж идут через доступ к секрету, а не через ошибки в коде.

Частые вопросы

Сколько клиентов пострадало?

Около 200 тысяч — по сути вся клиентская база брокера.

Украли ли криптовалюту?

Нет. Компания заявляет, что средства, монеты, пароли, копии документов и платёжные реквизиты не затронуты.

Какие данные могли утечь?

Полные имена, номера удостоверений личности, электронная почта, телефоны и адреса подключения. Часть публикаций указывает, что состав данных официально не раскрывался.

Как это произошло?

Через компрометацию стороннего поставщика программного обеспечения. Сам брокер прямой целью атаки не был.

Чем опасна утечка личных данных?

Она позволяет строить убедительный фишинг, перевыпускать сим-карту для перехвата кодов и в крайних случаях выходить на владельца физически.

Что делать пострадавшему?

Не доверять входящим обращениям «от брокера», переносить двухфакторную защиту из СМС в приложение или на аппаратный ключ, не обсуждать публично размер своих активов.

Источники

Материал подготовлен на основе публикаций Crypto Briefing и CTech.