Крах биржи MtGox и будущее биткоина

Последние несколько недель капитально встряхнули рынок биткоинов и привлекли внимание к криптовалюте даже тех, кто ею не пользуется и даже особо не интересуется. Биржа MtGox — некогда крупнейшая в Сети площадка для обмена биткоинов — закрылась, судя по всему, навсегда, так и не дав пользователям получить свои деньги. Таким образом, в длившейся почти месяц истории, начавшейся с внезапного прекращения вывода средств «из-за технических неполадок», была поставлена жирная точка без каких-либо намеков на хеппи-энд.

Поскольку клиенты MtGox не имели технической возможности конвертировать свои средства в реальные деньги, всемирно известная биржа оказалась изолирована от всей биткоин-экосистемы. Это привело к тому, что сперва внутренний курс площадки сполз до отметки $100 за монету, а после торги прекратились вовсе. В последний день февраля руководство объявило о банкротстве биржи.

Динамика изменения курса BTC на бирже MtGox  в последние дни перед закрытием

В рамках наших прогнозов на 2014 год мы заявляли о том, что всевозможные атаки на биткоин, а также на его пулы, обменные узлы и на самих пользователей станут одним из основных трендов на ближайшее будущее. Причина, очевидно, кроется в высокой прибыльности таких кампаний: при относительно малых затратах преступники могут сорвать солидный куш. Шутка ли: стоимость всех находившихся внутри MtGox биткоинов составляет на данный момент более $300 млн! Впрочем, куда утекли все эти деньги — неизвестно, так что вся значительность инцидента, который, скорее всего, ознаменует важнейшую веху в истории биткоина, отягощается отсутствием ответа на простой вопрос: что же именно случилось?

У протокола Bitcoin есть одно важное свойство под названием «гибкость транзакции» (TX Malleability), не позволяющее успешно пройти двум одинаковым сделкам: из нескольких переводов с одинаковыми реквизитами, но разными идентификаторами системой будут отвергнуты как ошибочные все, кроме самого последнего. При определенных условиях (например, специфические настройки ПО биржи) это свойство позволяет злоумышленнику дважды генерировать одну и ту же транзакцию с разными ID, в итоге создавая видимость того, что первая сделка не совершилась, — железный аргумент для требования с биржи повторного перевода. В результате махинатор получает средства в двойном объеме: с прошедшей удачно первичной транзакции и якобы неудавшейся последующей.

Именно такой тип атаки стал официальной причиной «временного» прекращения вывода средств из MtGox, что позволило подумать, будто биржа была ограблена. Могло ли это произойти при участии кого-то из администрации? Вполне.

Во-первых, хоть атака, эксплуатирующая нюансы «гибкости транзакции», не обязательно должна быть совершена кем-то изнутри, прямой доступ к системе значительно облегчает задачу.

Во-вторых, в случае ограбления, выполненного исключительно усилиями извне, у администрации должно было остаться достаточно данных о пользователе, который регулярно жаловался на неприходящие средства и запрашивал их вывод снова и снова.

В-третьих, недавний взлом блога гендиректора MtGox Марка Карпелеса поднял новую волну скандала и заставил усомниться в том, что атака на площадку была произведена некими третьими лицами: анонимные хакеры разместили пост, в котором обвинили Карпелеса в обмане, и выложили объемный архив с копиями базы данных и отчетов о работе биржи. Кроме того, в своем сообщении взломщики утверждали, что нашли на счетах MtGox почти миллион биткоинов — столько же, сколько, согласно официальному заявлению, было украдено хакерами. На момент написания этой заметки сайт блога, к сожалению, был уже удален, а от самого Карпелеса никаких комментариев нет.

В любом случае все, что остается делать, — это ждать, пока правоохранительные органы расследуют инцидент и докапываются до истины, и надеяться, что в конечном итоге издержки всех пострадавших участников биржи будут компенсированы.

Что же до будущего Bitcoin… Последние недели в очередной раз показали нам, что криптовалюта и управляющая ею система требуют особого отношения к безопасности со стороны бирж и других подобных организаций. К сожалению, децентрализованность и отсутствие ответственного регулятора означают, что никто не сможет навязать биткоину единый стандарт безопасности. Стало быть, все в руках биткоин-энтузиастов и криптовалютного сообщества: они должны сотрудничать исключительно с теми компаниями, чья репутация безупречна, понимание технологии исчерпывающе, отношение к безопасности превыше всего, а желание двигаться вперед с целью добиться еще большего доверия пользователей безгранично. Только в этом случае у биткоина есть будущее.