6.3 מיליארד דולר נגנבו מבינאנס. איך זה בכלל אפשרי?
בסוף השבוע דווח על פריצת ענק לבורסת בינאנס ממנה נשדדו כ־6.3 מיליארד דולר בתוך דקות. האירוע משאיר כמה סימני שאלה: למה מתבצעים מעשי שוד שכאלו? האם הכסף הדיגיטלי כשלעצמו מסוכן לאחזקה? למה אנשים מפקידים את הכסף בבורסות קריפטו? ומדוע רשויות האכיפה חסרות אונים בתפיסת הכסף למרות שניתן לאתר את מהלכו?
למה להאקרים שווה לפרוץ לבורסות קריפטו ולא לבנקים? זירת הקריפטו מציעה את "השלל המושלם" בשל שלושה מאפיינים מרכזיים:
המאפיין הראשון הוא סופיות בלתי הפיכה. במערכת הבנקאית, אם כסף נגנב, הבנקים ורשויות החוק יכולים לפנות למערכות הסליקה הבינלאומיות ולנסות לעצור את הכסף בדרך. ברשת הבלוקצ'יין, ברגע שעסקה מאושרת היא ננעלת בקוד. אין שום גורם שיכול להפוך את הפעולה באופן חד־צדדי ברשת מבוזרת.
המאפיין השני הוא שהקריפטו מתנהג כמו כסף מזומן, בשונה מחשבון בנק. בבנק, הכסף שלכם הוא זכות משפטית הרשומה על שמכם. בקריפטו, השליטה במטבעות, כמו בכסף מזומן, נתונה למי שמחזיק בקוד ההפעלה (המפתח הפרטי). לפיכך, ברגע שההאקר השיג את הקוד הוא יכול להעביר את הכסף כבעליו החוקי.
המאפיין השלישי הוא פערי רגולציה ושטח תקיפה רחב. בנקים פועלים תחת רגולציה קשיחה, אחידה ושמרנית. בבורסות קריפטו המערכות מחוברות לאינטרנט באופן המאפשר מסחר מהיר ואוטונומי, מה שמייצר נקודות תורפה פוטנציאליות.
מה ידוע בינתיים על שיטת הפריצה? השוד החל בפריצה למחשב הנייד של אחד ממהנדסי החברה. באמצעותו הצליחו ההאקרים לחדור למערכות הבורסה ולהורות על העברת הכספים לידיהם. המערכת זיהתה את ההוראה כפעולה מורשית וביצעה אותה באופן אוטומטי, מבלי לדעת שמאחוריה עומדים התוקפים.
האם הכסף הדיגיטלי כשלעצמו מסוכן לאחזקה? לא, הטכנולוגיה שעליה מבוסס הקריפטו היא אחת ממערכות ההצפנה המאובטחות ביותר. רשת הביטקוין עצמה לא נפרצה בדרך המאפשרת לזייף מטבעות או לעקוף את כללי הבעלות שלה. הסיכון אינו בהכרח במטבע עצמו אלא בדרך שבה בוחרים לשמור אותו.
הסיכון נוצר מכיוון שהבורסה מתנהגת כמו בנק, והיא מחזיקה את המפתחות הדיגיטליים בעבור לקוחותיה, כשהם לא מחזיקים בקוד הגישה לכסף שלהם. מבנה זה יוצר נקודת כשל מרכזית, ריכוז נכסים תחת קורת גג אחת. חדירה מוצלחת אחת למערכות הניהול של הבורסה עלולה להעניק לתוקף גישה להונם של מיליוני לקוחות.
למה אנשים מפקידים את הכסף בבורסות למרות החשש ממעשי שוד? ארנק קריפטו פרטי ועצמאי עשוי להעניק למשתמש שליטה ישירה בכספו, אך הוא מגיע עם מחיר של אחריות וסרבול. המשתמשים בוחרים בבורסות בגלל שלוש סיבות מרכזיות, ובראשן הפחד מאובדן הגישה. אם אדם מאבד את הארנק הפרטי שלו, הכסף יורד לטמיון. מנגד, כשהבורסה מנהלת את הגישה עבור המשתמש, היא מאפשרת לו לשחזר את הגישה לחשבון.
סיבה נוספת היא מסחר בזמן אמת וחיסכון בעמלות. מתוך הבורסה, קנייה ומכירה של מטבעות מתבצעות בשבריר שנייה. מעבר לארנק פרטי דורש סרבול טכנולוגי ותשלום עמלות בגין העברות ברשת. בנוסף, הבורסות מציעות מוצרים פיננסיים, לרבות אפשרויות לקבלת ריבית או תשואה.
מדוע רשויות האכיפה מתקשות להשיב את הכסף הגנוב, למרות שניתן לעקוב אחר תנועתו? רשתות הקריפטו הן כמו ספר חשבונות ציבורי. כולם, כולל רשויות האכיפה, רואים לאיזו כתובת דיגיטלית עבר הכסף הגנוב. הבעיה היא שאין מנהל למערכת ואם הכסף נמצא בארנק פרטי של ההאקר, אין לשום גוף גישה.
אמיר בושנסקי
(צילום: ליאת מנדל)
עם זאת, הפריצה מוכיחה את ההבדל בין סוגי המטבעות. ההאקרים גנבו בין היתר מטבעות יציבים צמודי דולר, חלק מהמטבעות הללו מונפקים על ידי חברות פרטיות. ברגע שרשויות האכיפה פנו אליהן, החברות הפעילו מתג הקפאה וחסמו חלק מהשלל. את החלק האחר, שהוחזק במטבעות מבוזרים כביטקוין ואת'ריום והועבר לארנקים הפרטיים של התוקפים, לא היה ניתן לעצור באותה דרך.
למה בית משפט לא יכול להוציא צו עיקול? צו עיקול הוא כלי משפטי המופנה כלפי ישות משפטית (אדם או תאגיד). שופט יכול לחתום על צו המורה על עיקול כספים בחשבונות בנק, והבנקים יצייתו לצווים. רשת הבלוקצ'יין המבוזרת אינה ישות משפטית, אין לה משרדים, מנכ"ל או מחלקה משפטית. היא מופעלת על ידי מחשבים עצמאיים הפזורים בעולם.
החוק היחיד שהרשת מכירה הוא חוק הבעלות הדיגיטלית: עם מתן הוראת ביצוע באמצעות המפתח הפרטי המערכת תבצע את העברת המטבעות הקריפטוגרפיים באופן אוטומטי לחלוטין. במילים פשוטות, מול רשת מבוזרת, חוקי המתמטיקה חזקים מצווים של בתי משפט.
האם הכסף בבורסות הקריפטו מוגן מפני גניבה? בעולם הקריפטו, מטבעות קריפטוגרפיים המוחזקים בבורסות אינם נהנים מביטוח פיקדונות ממשלתי. עם זאת, בחלק מהבורסות קיים ביטוח מסחרי חיצוני המכסה סיכונים מסוימים, כגון גניבה או פריצה. אולם, אין בכך הבטחה לפיצוי מלא ללקוחות.
לצד ביטוח מסחרי, יש בורסות המפעילות קרנות חירום פנימיות. בינאנס מפעילה קרן שכזו, המבוססת על נכסים שהבורסה מייעדת למטרה זו. אולם, הסיכון חבוי בתרחישי קיצון של קריסה כוללת, שבהם הלקוחות עלולים להיוותר ללא הגנה, בתור ארוך של נושים.
ד"ר אמיר בושנסקי הוא חוקר ומומחה לטכנולוגיות מתפרצות ורגולציה, למשרד עורכי הדין ד"ר גדעון פישר ושות
