Південнокорейська податкова служба злила мнемонічні фрази, білий хакер очистив 4,8 мільйони токенів і повернув їх усі

Податкова служба Південної Кореї (NTS) 26 лютого опублікувала прес-реліз про конфіскацію криптоактивів, у якому чітко видно 12-словний мнемонічний код Ledger апаратного гаманця на фотографії. Це дозволило невідомим особам використати цю інформацію і вивести 4 мільйони токенів Pre-Retogeum (PRTG), що приблизно оцінюється у 4,8 мільйона доларів США; пізніше токени були повернені на початковий гаманець. Ця подія підкреслює серйозні недоліки безпеки зберігання цифрових активів державними органами.

Хроніка події: ланцюг реакцій, викликаний однією фотографією

Податкова служба Південної Кореї оголосила, що у процесі розслідування зловживань податковими зобов’язаннями було вилучено криптоактивів на суму близько 81 мільярда вон (приблизно 5,61 мільйона доларів США). У прес-релізі опубліковано фотографії вилучених предметів. Проблема виникла через одну фотографію, позначену як «справа 3», — на ній чітко видно Ledger апаратний гаманець і рукописний лист із повним 12-словним мнемонічним кодом.

Місцевий професор прямо порівняв цю помилку з «відкритим запрошенням для інших зламати ваш гаманець». Якщо мнемонічний код стане відомий, будь-хто може відновити гаманець на будь-якому пристрої і повністю контролювати активи — фізична безпека апаратного гаманця миттєво втрачає свою силу.

Згідно з даними блокчейну, незабаром після публікації фотографії невідомий користувач надіслав невелику кількість ETH для оплати газових комісій і перерахував 4 мільйони PRTG токенів на новий адрес. Ці токени становлять близько 40% від загального обсягу пропозиції PRTG.

Повернення токенів і реальна ліквідність

Хоча ці токени згодом були повернені на початковий гаманець, інцидент викликав широку дискусію. Неясно, чи це дія так званих «білих хакерів» — з метою виявлення вразливостей — чи зловмисники усвідомили низьку ліквідність PRTG і тому повернули токени, щоб уникнути труднощів із їхнім продажем.

Реальна ситуація на ринку PRTG суттєво відрізняється від номінальної вартості: єдиний активний торговий парі має дуже низький обсяг, навіть невеликі продажі можуть значно знизити ціну, а масштабне виведення коштів майже неможливе. Це означає, що номінальні 4,8 мільйона доларів не відповідають фактичним можливостям їхнього швидкого конвертування у готівку.

Основні дані події:

• Витік інформації: 12-словний мнемонічний код Ledger гаманця (чітко видно на фотографії)
• Переведені токени: 4 мільйони PRTG, номінальна вартість близько 4,8 мільйона доларів (приблизно 40% від загального обсягу)
• Загальна сума вилучених активів: близько 81 мільярда вон (приблизно 561 тисяча доларів США)
• Результат події: токени повернені на початковий гаманець; низька ліквідність PRTG у ринку ускладнює їхнє швидке виведення
• Заява NTS: станом на час публікації, NTS ще не оприлюднила детального коментаря

Поширені питання

Що таке мнемонічний код (Mnemonic Phrase), і чому його витік настільки небезпечний?

Мнемонічний код — це послідовність з 12 до 24 англійських слів, що служить для відновлення крипто-гаманця. Той, хто має цей набір слів, може у будь-який момент і на будь-якому пристрої повністю відновити і контролювати гаманець. Фізичний захист апаратного гаманця (наприклад, Ledger) не здатен захистити від витоку мнемонічного коду — якщо він стане відомий, безпека всього гаманця зруйнована.

Чи є реальними фінансовими втратами 4,8 мільйона доларів у PRTG?

Номінально — так, але через низьку ліквідність ринку ці токени не можна швидко конвертувати у готівку за їхньою номінальною вартістю. Згідно з даними блокчейну, токени повернулися на початковий гаманець, тож фактичних довгострокових фінансових втрат не зафіксовано. Однак серйозні порушення безпеки вже очевидні.

Які висновки для майбутнього зберігання криптоактивів державними органами?

Ця подія підкреслює системний ризик у випадку, коли державні органи не застосовують належних технічних заходів безпеки для зберігання цифрових активів. Основні висновки: при демонстрації вилучених активів потрібно приховувати всі чутливі дані (включно з мнемонічними кодами і приватними ключами); необхідно створювати спеціальні процедури для зберігання цифрових активів, а не просто застосовувати стандартні методи, що використовуються для фізичних предметів.