Скъп гаф: Корейските данъчни власти „подариха“ 4.8 милиона долара на хакери, като показаха сийд фразата на конфискуван портфейл

Невероятна небрежност от страна на Националната данъчна служба на Южна Корея доведе до кражбата на крипто активи на стойност 4,4 милиона долара (около 4,8 млн. долара в токени към момента на прехвърлянето), след като институцията публично разкри фразата за възстановяване на конфискуван портфейл.

Средствата са били съхранявани в хардуерен портфейл Ledger, иззет при мащабни акции срещу 124 лица, укриващи данъци в големи размери. Операцията бе обявена за голям успех, след като бяха конфискувани дигитални активи на обща стойност 8,1 милиарда вона (приблизително 5,6 милиона долара).

При официалното обявяване на резултатите от акцията обаче, агенцията публикува снимки на устройството Ledger. За нещастие, на изображенията се виждаше и ръкописно написана бележка с фразата за възстановяване (mnemonic recovery phrase) – „главният ключ“, който позволява активите да бъдат възстановени на всяко друго устройство по света.

Отворена врата за крадците

Властите не са успели да цензурират или скрият тази критична информация, което позволи на практика на всеки, видял снимката, да прехвърли активите в свой собствен акаунт.

Докладите сочат, че малко след публикуването на прессъобщението, 4 милиона токена Pre-Retogeum (PRTG), оценени на около 4,8 милиона долара по това време, са били прехвърлени от конфискувания портфейл към нов адрес.

„Анализът на блокчейн данните (Etherscan) показва, че нападателят първо е депозирал малко количество Ethereum (ETH) в портфейла, за да плати таксите за транзакцията (gas fees), а след това прецизно е прехвърлил 4-те милиона PRTG токена в собствения си портфейл чрез три отделни транзакции“, съобщават корейските медии.

Реакции на експерти

Чо Дже-у, експерт по анализ на блокчейн данни и професор в университета Хансунг в Сеул, който е наблюдавал трансфера, сравни гафа на властите с това „да оставиш портфейла си отворен и да го рекламираш пред цялата нация, канейки хората да вземат парите“.

Професорът отдаде грешката на „липсата на основни познания за виртуалните активи“ у данъчните органи. Този пропуск на практика струва на националната хазна десетки милиарди вона, които вече са били успешно конфискувани.

Последствия и уроци

Прессъобщението вече е премахнато от уебсайта на Националната данъчна служба, но не е ясно дали властите са започнали разследване, за да установят къде са отишли откраднатите средства.

Случаят е болезнено напомняне за собствениците на хардуерни портфейли, че тяхната „сийд фраза“ дава пълен достъп до средствата им без никакви допълнителни защити. Всеки, който я притежава, може да възпроизведе портфейла навсякъде, без да се нуждае от физическото устройство, неговия ПИН код или разрешение от собственика.

Основни съвети за сигурност:

• Избягвайте дигитализирането на сийд фрази (не ги записвайте в електронни бележки, снимки, имейли или облачни хранилища).
• Никога не ги изпращайте чрез приложения за съобщения.
• Ако сийд фразата бъде разкрита по какъвто и да е начин, всички средства трябва да бъдат преместени в нов портфейл възможно най-бързо.