בשרת של 3,000 דולר בלבד: האקרים אתיים חשפו פרצה שיכלה לסכן קריפטו בשווי 70 מיליארד דולר

תגלית שמטלטלת את עולם הארנקים

קבוצת האקרים אתיים (Ethical Hackers) הפתיעה לאחרונה את קהילת הקריפטו כשהוכיחה כי ניתן לשחזר מפתחות פרטיים של ארנקים ותיקים באמצעות ציוד מחשוב זול להפליא — שרת ברשת שעלותו כ-3,000 דולר בלבד. הצוות, שהתמחה בשחזור ארנקי קריפטו אבודים עבור לקוחות, גילה כי חולשה במנגנון יצירת המספרים האקראיים (Random Number Generator) ששימש חלק מספריות התוכנה הפופולריות ליצירת ארנקי ביטקוין (Bitcoin) ומטבעות דיגיטליים נוספים בתחילת העשור הקודם, הותירה פתח תיאורטי לפריצה. לפי ההערכות, הפרצה עלולה הייתה לחשוף גישה לנכסים דיגיטליים בשווי מצטבר של כ-70 מיליארד דולר, שהופקדו בארנקים שנוצרו בין השנים 2011 ל-2015.

איך זה בכלל אפשרי

הבעיה, המוכרת בקהילת האבטחה בשם "רנדסטורם" (Randstorm), נובעת מכך שספריות תוכנה מבוססות ג'אווהסקריפט (JavaScript) ששימשו ליצירת ארנקים בדפדפן לא ייצרו אנטרופיה מספקת בעת חישוב המפתח הפרטי של המשתמש. במקום מספר אקראי אמיתי, נוצר לעיתים דפוס חוזר וניתן לניבוי, כזה שתוקף בעל ידע וכוח מחשוב סביר יכול היה לשחזר. הצוות שערך את הבדיקה הוכיח את החולשה בפועל, לא רק על הנייר: הוא הצליח לשחזר מפתחות פרטיים אמיתיים תוך זמן קצר, באמצעות חומרה שכל אדם פרטי יכול לרכוש. חשוב להדגיש שמדובר בארנקים ישנים שנוצרו לפני כעשור ומעלה, ולא בטכנולוגיות ההצפנה המודרניות המשמשות ארנקי חומרה וספריות עדכניות כיום.

מה זה אומר למחזיקי קריפטו בישראל

התגלית מהדהדת גם בזירת הקריפטו הישראלית, שבה משקיעים רבים מחזיקים נכסים דיגיטליים באופן עצמאי מזה שנים, לעיתים בארנקים ישנים שלא הועברו מעולם לפתרונות אבטחה חדשים יותר. גופי אבטחת סייבר וחברות ארנקים ממליצים כעת למחזיקי מטבעות דיגיטליים לבדוק את מקור הארנק שלהם, ואם נוצר בתקופה הרלוונטית ובאמצעות כלים מבוססי דפדפן — להעביר את הכספים לארנק חדש ומאובטח בהקדם. המקרה מדגיש פעם נוספת עיקרון בסיסי בעולם הביזור: האחריות לאבטחת הנכסים מוטלת כולה על המשתמש עצמו, וטעות טכנית ישנה עלולה להתגלות שנים אחר כך כפרצת אבטחה בהיקף עצום.