چند هفته پس از انتشار خبر نشت اطلاعات حدود ۱۴ هزار مشتری ترزور، حالا مشخص شده ابعاد حادثه بسیار گستردهتر از برآورد اولیه بوده است. اطلاعات ۶۷ هزار مشتری دیگر نیز در این رخنه افشا شده و شمار افراد تحت تأثیر به بیش از ۸۰ هزار نفر رسیده است. پروندهای که بدون افشای کلید خصوصی یا هک کیف پولها، یکی از وجوه کمتر دیدهشده ریسک در حضانت شخصی را نشان میدهد.
«صرافی کیف پول نیست» یکی از پرتکرارترین توصیهها در جامعه رمزارز ایران است. توصیهای که کاربران را به خارج کردن دارایی از پلتفرمهای متمرکز و استفاده از ابزارهای حضانت شخصی تشویق میکند. در اختیار داشتن کلید خصوصی، کنترل مستقیم دارایی را به کاربر میدهد؛ اما در تکرار این توصیه، یک نکته کمتر مورد توجه قرار میگیرد: حضانت شخصی به معنای حذف ریسک نیست. ابزارها و زیرساختهای آن نیز ریسکهای مخصوص به خود را دارند. تحولات تازه پرونده ترزور نمونهای روشن از همین مسئله است.
ابعاد نشت اطلاعات ترزور تقریباً شش برابر شد
در خبر اولیه، ترزور اعلام کرده بود اطلاعات ۱۳ هزار و ۶۸۹ مشتری در پی رخنه امنیتی در ShipMonk، شرکت ارائهدهنده خدمات لجستیکی این مجموعه، افشا شده است. خود ترزور هک نشده بود، کلید خصوصی و عبارت بازیابی کاربران در معرض خطر قرار نگرفته بود و امنیت کیف پولهای سختافزاری نیز تحت تأثیر حادثه نبود.
بااینحال، اطلاعاتی مانند نام، ایمیل، شماره تلفن و نشانی محل سکونت مشتریان افشا شده بود؛ دادههایی که اتصال آنها به فهرست خریداران یک کیف پول سختافزاری میتواند صاحبانشان را به اهداف مشخصتری برای فیشینگ و سرقت فیزیکی تبدیل کند.
حالا اطلاعات تازه نشان میدهد ابعاد این رخنه بسیار بزرگتر بوده است. دادههای حدود ۶۷ هزار مشتری دیگر که بین نوامبر ۲۰۱۹ تا اوت ۲۰۲۱ محصول سفارش داده بودند نیز در دسترس مهاجمان قرار گرفته است. با احتساب این افراد، تعداد کل مشتریان تحت تأثیر به بیش از ۸۰ هزار نفر میرسد؛ تقریباً شش برابر برآورد اولیه.
موضوع فقط افزایش تعداد قربانیان نیست. بخشی از دادههای تازه افشا شده متعلق به سالها قبل بوده و اساساً نباید در سیستمهای ShipMonk باقی میمانده است. ترزور میگوید پیشتر چندین بار تأییدیه کتبی مبنی بر حذف این اطلاعات دریافت کرده بود، اما مشخص شده دادهها برخلاف توافق همچنان نگهداری میشدهاند.
لازم نیست کیف پول هک شود تا صاحب آن در معرض خطر قرار بگیرد
اهمیت پرونده ترزور دقیقاً در همین نقطه است. هیچ نشانهای از افشای کلیدهای خصوصی وجود ندارد و خود دستگاههای ترزور نیز در این حادثه هک نشدهاند؛ بااینحال بیش از ۸۰ هزار نفر اکنون با پیامدهای یک رخنه امنیتی مواجهاند.
اطلاعاتی مانند نام، شماره تلفن و آدرس محل سکونت وقتی به فهرست مشتریان یک تولیدکننده کیف پول سختافزاری متصل میشوند، حساسیت متفاوتی پیدا میکنند. مهاجم نهتنها اطلاعات تماس یک فرد را در اختیار دارد، بلکه میداند او احتمالاً صاحب رمزارز است و برای نگهداری آن کیف پول سختافزاری تهیه کرده است.
چنین اطلاعاتی امکان طراحی حملات فیشینگ و سرقتهای فیزیکی هدفمندتر را فراهم میکند. افشای نشانی محل سکونت میتواند مسئله را از امنیت دیجیتال فراتر ببرد و نگرانیهایی درباره امنیت فیزیکی صاحبان دارایی ایجاد کند.
پرونده ترزور از این جهت مهم است که ریسک نه در خود کلید خصوصی، بلکه در یکی از حلقههای پیرامونی حضانت شخصی شکل گرفته است.
حضانت شخصی هم یک زنجیره ریسک دارد
تصویر ساده از حضانت شخصی این است که کاربر کلید خصوصی را در اختیار میگیرد و به این ترتیب کنترل دارایی را شخصاً بر عهده دارد. اما ابزارهای حضانت شخصی در خلأ کار نمیکنند.
کیف پول سختافزاری یک محصول است که باید تولید، فروخته و ارسال شود؛ سختافزار و میانافزار دارد، با نرمافزارهای مختلف تعامل میکند و ممکن است شرکتهای دیگری نیز در زنجیره ارائه خدمات آن حضور داشته باشند. هر کدام از این نقاط میتوانند ریسکهای خاص خود را ایجاد کنند.
در پرونده ترزور، نقطه آسیبپذیر نه خود دستگاه، بلکه شرکتی بود که سفارش مشتری را به دست او میرساند. حتی ترزور نیز در زمان انتشار خبر اولیه از تمام ابعاد نشت اطلاع نداشت و چند هفته بعد مشخص شد تعداد افراد تحت تأثیر تقریباً شش برابر بیشتر است.
این اتفاق یادآوری میکند که امنیت حضانت شخصی را نمیتوان تنها با این پرسش سنجید که «کلید خصوصی دست چه کسی است؟»
«صرافی کیف پول نیست» تمام آموزش امنیت نیست
تأکید جامعه رمزارز ایران بر حضانت شخصی و تکرار توصیه «صرافی کیف پول نیست» بخشی از آموزش امنیت در این بازار است؛ اما این توصیه زمانی کامل میشود که ریسکهای خود حضانت شخصی نیز به همان اندازه جدی گرفته شوند.
این ریسکها هم همیشه نتیجه اشتباه یا دانش ناکافی کاربر نیستند. بیش از ۸۰ هزار مشتری ترزور لازم نبود عبارت بازیابی خود را گم کنند، روی لینک مخربی کلیک کنند یا مرتکب اشتباه فنی شوند. کافی بود در مقطعی یک کیف پول سختافزاری سفارش داده باشند و اطلاعات آنها نزد یکی از شرکتهای حاضر در زنجیره خدمات باقی مانده باشد.
حضانت شخصی امکان کنترل مستقیم دارایی را فراهم میکند، اما کنترل مستقیم را نباید با حذف ریسک یکی دانست. پرونده ترزور، بهخصوص حالا که ابعاد واقعی آن بسیار بزرگتر از برآورد اولیه مشخص شده، نمونه روشنی از این واقعیت است: حضانت شخصی راه خروج از ریسک نیست؛ شیوهای از نگهداری دارایی با مجموعه ریسکهای مخصوص به خودش است.
