In de wereld van crypto wordt beveiliging vaak uitsluitend als een technische kwestie beschouwd. Beleggers worden aangespoord hun privésleutels te beschermen, gebruik te maken van hardware wallets en phishinglinks te vermijden. Een opmerkelijke rechtszaak in het VK onthult echter dat de echte zwakte in deze zaak waarschijnlijk niets met code te maken had.
De Hoge Raad in het VK houdt zich bezig met een zaak waarin de vermeende diefstal van 2.323 Bitcoin (BTC), ter waarde van ongeveer 176 miljoen dollar, centraal staat. Deze diefstal ging niet gepaard met hacking of malware; in plaats daarvan begon het met het uitlekken van een seed phrase, die het enig punt van falen in zelfbewaking werd.
In deze controverse is Ping Fai Yuen de eiser, die beweert dat zijn estranged vrouw, Fun Yung Li, en haar zus toegang kregen tot zijn Bitcoin door in het geheim de herstelinformatie van zijn wallet vast te leggen.
De activa werden opgeslagen in een hardware wallet, die is ontworpen om privésleutels volledig offline te houden en zich te beschermen tegen externe bedreigingen. Toch vond de diefstal plaats zonder enige breuk van encryptie.
Volgens gerechtelijke documenten was het voldoende om de seed phrase te ontdekken om de diefstal te realiseren.
De tijdlijn van de crypto diefstal
De beschuldigingen schetsen gebeurtenissen die eerder op surveillancedaden lijken dan op digitale indringing.
De betrokken personen worden beschuldigd van het gebruik van een camera of opnameapparatuur om de seed phrase en gerelateerde codes vast te leggen.
De eiser kwam later, na een waarschuwing van zijn dochter, achter het complot.
Vervolgens stelde hij opnameapparatuur in, waarmee hij zegt gesprekken over het verplaatsen van de fondsen te hebben vastgelegd.
De Bitcoin werd vervolgens overgedragen naar 71 aparte walletadressen.
Sinds 21 december 2023 zijn er geen verdere bewegingen op de blockchain waargenomen, wat erop wijst dat de activa sinds de gerapporteerde overdracht inactief zijn gebleven.
Er wordt gezegd dat autoriteiten apparaten en cold wallets in beslag hebben genomen als onderdeel van het onderzoek, dat nog steeds aan de gang is.
De betekenis van de seed phrase in de Britse crypto-diefstal
Om deze zaak te begrijpen, moet men een fundamenteel principe van crypto beheersen: wie toegang heeft tot de seed phrase heeft volledige controle over de fondsen.
Een hardware wallet beschermt de privésleutels tegen online risico’s. Maar de seed phrase, die doorgaans uit 12 tot 24 woorden bestaat, fungeert als een volledige back-up van de gehele wallet.
Het ontdekken van de seed phrase stelt iemand in staat om de wallet op elk ander apparaat te reconstrueren, toegang te krijgen tot alle bijbehorende fondsen en de activa te verplaatsen zonder ooit het originele hardware apparaat aan te raken.
Met andere woorden, zodra de seed phrase bekend is, verliest het fysieke apparaat alle relevantie.
De rol van surveillance: een ongebruikelijke wijze van compromitteren
Wat in deze zaak opvalt, is de rapportage over de methode die is gebruikt om de inbreuk uit te voeren.
In plaats van te vertrouwen op phishing of kwaadaardige software, centreren de beschuldigingen zich rond visuele of audio-opname, mogelijk via een verborgen camera of stiekeme opname.
Dit onderstreept een zelden besproken risico: side-channel exposure (de blootstelling aan omgevingsfactoren).
Seed phrases worden vaak opgeschreven, uitgesproken of getypt tijdens de installatie. Als deze momenten worden bekeken of vastgelegd, kan de frase gemakkelijk worden gereconstrueerd, de wallet ergens anders worden gekopieerd en de activa zonder directe sporen worden verplaatst.
In omgevingen vol slimme apparaten, camera’s en gedeelde ruimtes, blijft dit type risico toenemen.
Het voorlopige standpunt van de Britse Hoge Raad
De zaak kwam voor de Britse Hoge Raad, waar rechter Cotter het gepresenteerde bewijs beoordeelde.
Hoewel dit geen definitieve uitspraak in de zaak is, gaf de rechter aan dat de eiser een zeer hoge kans van slagen heeft aangetoond.
Onder de elementen die in overweging werden genomen stonden de noodzaak van snelle actie en de volatiliteit van Bitcoin’s prijzen.
Wist je dat? Sommige wallets bieden nu sluierwallets aan, die verschillende PIN-codes gebruiken. Deze functie stelt gebruikers in staat om een kleiner saldo te tonen onder druk, wat een extra laag van bescherming biedt tegen zowel fysieke dwang als surveillance-gebaseerde aanvallen.
De eis stelt dat de Bitcoin verdeeld is over 71 walletadressen.
Deze stap heeft verschillende implicaties.
Het maakt het moeilijker om te traceren en terug te vorderen, divertiseert de aandacht van een enkele grote overdracht en fragementatie van de holdings kan juridische en onderzoeksinspanningen vertragen. Ondanks dat de transparantie van de blockchain het mogelijk maakt om verplaatsingen te traceren, voegt het verspreiden van de fondsen complexiteit en tijd toe aan het terugvorderingsproces.
De zorg over dusting aanvallen
De eiser heeft ook zijn zorgen geuit over een mogelijke dusting aanval op de betrokken adressen.
Dusting verwijst naar het verzenden van kleine hoeveelheden crypto naar wallets om:
de activiteit te monitoren, adressen aan werkelijke identiteiten te koppelen en waardevolle doelwitten voor toekomstige aanvallen te identificeren.
Als walletadressen openbaar worden, kunnen ze extra aandacht trekken, zelfs als er geen verdere activiteit plaatsvindt.
Beveiligingslessen uit deze zaak
Dit voorbeeld benadrukt enkele essentiële richtlijnen:
Houd de seed phrase volledig verborgen voor camera’s, telefoons en verbonden apparaten. Vermijd het opslaan van herstelinformatie op plekken die toegankelijk zijn voor anderen. Scheid persoonlijke identiteit van walletbeheer waar mogelijk. Gebruik meerdere lagen van bescherming voor grote holdings. Bovendien kunnen meer geavanceerde regelingen extra wachtzinnen, gesplitste back-ups of multisignature setups omvatten, die allemaal gericht zijn op het verminderen van de afhankelijkheid van een enkele kwetsbare schakel.
Vraag & Antwoord
Waarom is de seed phrase zo belangrijk in crypto-beveiliging?
De seed phrase is essentieel omdat deze volledige controle biedt over de fondsen in een wallet. Wie de seed phrase heeft, kan de wallet gemakkelijk op een ander apparaat herstellen en toegang krijgen tot alle activa.
Wat kunnen investeerders leren van deze zaak?
Investeerders moeten zich bewust zijn van de mensgerichte aspecten van crypto-beveiliging. Fysieke beveiliging, zoals het voorkomen van zichtbaarheid van privé-informatie, is net zo belangrijk als technologische maatregelen.
Waarom verspreid je activa over meerdere wallets?
Het verspreiden van activa over meerdere wallets kan helpen de zichtbaarheid te verlagen, het terugvorderingsproces te compliceren voor kwaadwillenden en helpt bij het vermijden van een enkele grote overdracht die de aandacht kan trekken.
