Почти 4000 биткоинов покинули резерв Liquid 6 сентября в результате одобренного сетью вывода средств, хотя приватные ключи, использованные для его авторизации, не были украдены. Программное обеспечение приняло вывод, который никогда не должен был быть одобрен.

Liquid позволяет пользователям перемещать токен, обеспеченный биткоином, в отдельном блокчейне, предназначенном для более быстрых и конфиденциальных транзакций. Биткоины поступают в общий резерв, а пользователи получают токены под названием L-BTC, каждый из которых предназначен для представления одного BTC. Когда пользователи погашают эти токены, соответствующие монеты изымаются из резерва.

Согласно реконструкции атаки, проведенной TRM Labs, злоумышленники использовали уязвимость в программном обеспечении для создания L-BTC без внесения соответствующего биткоина, а затем обменяли эти токены на реальные монеты. Операторы, ответственные за одобрение выводов средств, фактически доверились неверной информации.

Если вы годами слышали, что защита ваших ключей означает защиту вашей криптовалюты, это требует некоторого осмысления. Приватные ключи — это секреты, которые авторизуют транзакции, и их сохранность от воров имеет решающее значение. Но программное обеспечение все еще может использовать эти ключи для одобрения неверного платежа. Представьте, что несколько человек подписывают вывод средств, одновременно сверяясь с одним и тем же неверным балансом счета.

Как только это происходит, вы перестаете искать техническое объяснение и начинаете задавать вопрос на миллиард долларов: кто заплатит за возврат денег?

Криптовалютное страхование может помочь, но просто наличие полиса может оказаться не быстрым и простым решением. Компания может быть застрахована от определенных убытков или от претензий, предъявленных ей, но без обещания полного возмещения каждому клиенту. Даже когда страховщик платит, сумма может не покрыть стоимость замены утерянных монет.

Чтобы понять это, нам нужно рассмотреть, что происходит между страховым случаем компании и счетом клиента. Именно здесь обещание «финансовой защиты» может оказаться совершенно иным, чем ожидают люди.

Компания застрахована, а вы?

Люди доверяют активы финансовым услугам, потому что хотят, чтобы кто-то другой выполнял работу, которую они не могут сделать сами. Это включает защиту денег, а также принятие ответственности, когда эти меры защиты терпят неудачу. Страхование может поддержать эту ответственность, хотя условия определяют, насколько реальную поддержку оно предоставляет.

Coinbase предлагает хороший пример в своем публичном объяснении своего страхования. Компания заявляет, что ее страхование от преступлений защищает «часть» цифровых активов, хранящихся в ее системах хранения, от кражи, включая кибербезопасные взломы. Она также предупреждает, что общие убытки могут превысить страховые возмещения, оставляя клиентов с убытками, даже когда инцидент покрывается страховкой.

Полис исключает убытки от несанкционированного доступа к индивидуальному счету, вызванного компрометацией или потерей учетных данных для входа. Таким образом, одинаковый исход для двух клиентов, когда деньги пропадают с их счетов, может включать разное покрытие в зависимости от того, как это произошло.

Раскрытие информации Coinbase объясняет больше, чем может сказать слово «застраховано». Оно сообщает клиентам, что защита имеет пределы, и что причина и размер убытка влияют на то, что может предоставить страховка. Тот, кто прочитает только то, что у бизнеса есть покрытие, упустит обе эти оговорки.

Есть знакомое сравнение, которое может затруднить понимание. В США FDIC защищает соответствующие депозиты при банкротстве застрахованного банка. Но он не страхует цифровые активы, даже когда они приобретаются через застрахованный банк. Наличные и криптовалюта могут находиться рядом в приложении и иметь очень разную защиту.

При частном страховании первое, что нужно установить, — чьи убытки покрывает полис. Если застрахованной стороной является компания, хранящая ваш биткоин, соглашение страховщика заключается с этой компанией. Можете ли вы подать иск напрямую и как выплата достигнет вас, зависит от применимых договоренностей и законодательства. И вы не можете увидеть это по балансу своего счета.

Обязательства компании перед вами также отделены от ее страхования. Если она должна клиентам больше, чем выплатит ее страховщик, ей нужен другой источник денег для покрытия разницы. И наоборот, знание размера страхового полиса не определяет, что компания должна конкретному клиенту.

Вот почему две услуги могут рекламировать страховку и предлагать разные уровни финансовой защиты. Одна может обещать возместить определенные убытки и иметь достаточно денег для покрытия страхового дефицита, в то время как другая может взять на себя более ограниченные обязательства. Клиенты должны знать, что им обещают, и может ли бизнес позволить себе выполнить эти обещания.

Программное обеспечение дает сбой, и у счета должен быть владелец

Кража, совершенная с помощью программного обеспечения, может быть застрахована, даже если приватные ключи остаются в безопасности. Relm, специализированный страховщик, обслуживающий криптовалютные компании, описывает страхование от преступлений в сфере цифровых активов, которое может покрывать эксплойты инфраструктуры и кражи с участием смарт-контрактов — программ, автоматически выполняющих транзакции.

Тот же страховщик предлагает страхование от ошибок и упущений в технологиях, которое покрывает претензии, возникающие из-за проблем с продуктами или услугами компании. В зависимости от полиса, он может оплатить защиту по иску и покрыть урегулирование или судебное решение. Но это служит иной цели, чем прямое возмещение компании за потерянные активы.

Представьте компанию, которая хранит биткоины для клиентов и полагается на программное обеспечение другой компании для обработки выводов средств. Если ошибка в программном обеспечении приведет к утечке денег, поставщик услуг хранения может потребовать оплату по своему собственному покрытию. Он также может предъявить иск к компании-разработчику программного обеспечения, чья страховка ответственности может помочь оплатить то, что эта фирма должна.

Тем временем клиенты хотят получить доступ к своим балансам. Их потребность немедленна, даже пока компании устанавливают ответственность, а страховщики оценивают претензии. Заплатит ли поставщик услуг хранения клиентам в процессе зависит от его обязательств и его способности финансировать погашение.

Liquid демонстрирует, почему восстановление активов и возложение ответственности — это две разные задачи. Согласно расследованию Bitquery, злоумышленники вернули 3400 BTC 7 сентября. 12 сентября CryptoSlate сообщил, что Blockstream отклонил требование о вознаграждении.

Каждый возвращенный биткоин уменьшает сумму, необходимую для восстановления резерва. Но погашение средств злоумышленником не определяет, кто должен внести любой дефицит. Это зависит от обязательств, которые запись транзакций, какой бы подробной она ни была, сама по себе не может установить.

Получить свои доллары обратно — не всегда значит получить свой биткоин обратно

Даже согласованная выплата требует определения того, что возмещается. Люди, владевшие биткоинами, могут ожидать такое же количество монет, но их договор о компенсации может вместо этого указывать сумму в долларах.

Рассмотрим гипотетическую потерю одного биткоина стоимостью 80 000 долларов США. Предположим, компенсация фиксируется на этом уровне, но биткоин стоит 100 000 долларов США на момент выплаты. Получатель получает обещанные 80 000 долларов США, которые теперь покупают только 0,8 BTC. Сумма в долларах была полностью возмещена, в то время как пятая часть первоначального биткоин-холдинга по-прежнему отсутствует.

Если цена падает во время ожидания, те же доллары могут купить больше биткоинов. Суть в том, что соглашение определяет, кто несет риск этих ценовых колебаний. Этот пример не описывает конкретный полис; контракты могут использовать разные даты оценки или предусматривать замену в монетах.

Возмещение также нуждается в правилах. Если страховщик платит, а часть утерянных биткоинов впоследствии возвращается, соглашение должно учитывать, кто их получает. Возврат монет в кошелек — это лишь один шаг в разрешении убытка: распределение их между лицами, имеющими право на возмещение, — это совершенно другой вопрос.

Затем возникает стоимость невозможности использовать деньги. Тот, кто в конечном итоге получит все монеты обратно, мог провести недели, не имея возможности произвести платеж или переместить свои сбережения. Замена актива не компенсирует автоматически эти последствия, которые потребуют собственной основы для возмещения.

Эти сложности обнажают предел инструкции о том, что клиенты должны проводить собственное исследование. Немногие люди могут проверить программное обеспечение, одобряющее их биткоин-выводы. Еще меньше могут сравнить его возможные сбои со страховым полисом, который они, возможно, никогда не увидят, заключенным между их поставщиком и другим бизнесом.

Выбор финансовой услуги не должен требовать такого уровня экспертизы. Поставщики должны объяснять возмещение так же ясно, как и комиссии, указывая, какие убытки они обязуются возместить и означает ли возмещение монеты или доллары. Они также должны объяснить, как они будут финансировать разрыв между тем, что они должны клиентам, и тем, что выплатит их страховщик.

Эта информация позволит людям оценить цену принятия на себя большего риска. Некоторые выберут более дешевую услугу с ограниченной защитой, в то время как другие заплатят больше, чтобы бизнес взял на себя обязательства, подкрепленные достаточными средствами для их выполнения.

Утерянные биткоины Liquid начались с того, что программное обеспечение приняло то, что должно было отклонить. Главный урок здесь касается всех, кто полагается на компанию для защиты своих активов: безопасность снижает вероятность убытков, а финансовая защита определяет, как эти убытки распределяются. Клиенты заслуживают знать свою долю до того, как их попросят ее нести.

Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.