קוין-בייס מסירה כלי שנוי במחלוקת: חששות אבטחה בפלטפורמות בלוקצ'יין
ב-18 במרץ, חברת קוין-בייס התמודדה עם סערה בתחום האבטחה לאחר שהסירה כלי בשם "החלמה ישנה". זאת בעקבות התרעות חוקרים בתחום הבלוקצ'יין כי הכלי עלול לשמש להונאת משתמשים למסירת מילות הגיבוי שלהם. המקרה הזה מעלה שוב את השאלה כיצד עיצוב פלטפורמות עשוי להתנגש עם נהלי האבטחה הוותיקים בתחום המטבעות הקריפטוגרפיים.
הכול התחיל כאשר קוס, מייסד חברת האבטחה SlowMist, העלה שאלות לגבי דף שמתארח על ידי קוין-בייס, שביקש ממשתמשים להקליד את מילות הגיבוי שלהם בטקסט רגיל. קוס פרסם צילומי מסך שהראו את ממשק משיכת הכספים של קוין-בייס, שהתנהגותו עוררה חששות בקרב הקהילה בתחום הבלוקצ'יין. הדף הציע למשתמשים לקחת את מילות הגיבוי שלהם מ-Google Drive, צעד שנחשב מסוכן מבחינת אבטחת מידע.
זאקXBT, חוקר בלוקצ'יין מוכר, הביע דאגה נוספת כשטען שהדף יכול לשמש ככלי הנדסה חברתית עבור תוקפים, מכיוון שהוא מתארח בדומיין רשמי של קוין-בייס. לטענתו, קיומו של דף כזה יכול להוות פתח לתוקפים לכוון למשתמשי קוין-בייס באמצעות הנדסה חברתית להונאת מילות גיבוי.
עוד חבר בצוות של SlowMist, בשם 23pds, הצביע על פגמים טכניים בדף והדגיש את הסיכון השכפול. הוא טען כי תוקפים יכולים להעתיק את הממשק וליצור דומיינים שנראים כמוהו כדי להונות אנשים למסור להם מידע רגיש. פגמים אלו מגדילים את הסיכון שהכלי ישמש למטרות זדוניות.
בנוסף לסיכונים הטכניים, עלתה גם ביקורת התנהגותית. משתמש בשם קירן טען שהבעיה הגדולה יותר היא התנהגותית, כאשר הכלי מנוגד לכלל הבטיחות הנלמד ביותר בקריפטו - לעולם לא לשתף או להזין מילת גיבוי באתר. קיומם של דרישות כאלה בדפים רשמיים עשוי להפוך ניסיונות פישינג למתקבלים יותר.
אלכס, חבר צוות בקוין-בייס, הגיב כי החברה הסירה את הכלי ועובדת על פתרון חדש. הוא הוסיף כי הם מחויבים לעמוד בסטנדרטים הגבוהים ביותר של אבטחה. בזמן כתיבת שורות אלה, דף ההחלמה אכן הוסר והוחלף בהודעה שמודיעה למשתמשים כי השירות אינו זמין כרגע.
סיכוני הנדסה חברתית הם לא דבר חדש, אך הם הולכים וגוברים. נתונים מראים כי תוקפים נוטים כיום יותר לכוון למשתמשים במקום לנצל קוד. הפקת כלים כמו כלי ההחלמה של קוין-בייס עשויה להעניק יתרון לתוקפים, ולכן יש להקפיד על נהלי אבטחה מחמירים בפלטפורמות בלוקצ'יין.
מה דעתכם על המהלך של קוין-בייס? האם לדעתכם ישנם פתרונות נוספים שיכולים להבטיח את בטיחות המשתמשים בתחום הקריפטו? נשמח לשמוע את דעתכם ולדון בנושא.