Veilige sleutels bieden geen garantie: waarom cryptodiefstal ook zonder hack kan gebeuren
Bijna 4.000 bitcoin verdwenen uit Liquid in september, zonder dat aanvallers de privésleutels hebben gestolen. Een softwarefout zorgde ervoor dat het systeem betalingen goedkeurde die nooit hadden mogen doorgaan. Dit toont aan dat cryptobeveiliging veel ingewikkelder is dan alleen je sleutels beschermen.
Hoe de aanval werkte
Liquid is een netwerklaag voor snellere en privacyveiligere bitcointransacties. Gebruikers zetten echte bitcoin in een gezamenlijke reserve en ontvangen in ruil L-BTC-tokens. Bij terugboeking worden de munten teruggegeven. Aanvallers misbruikten een softwarefout om L-BTC te creëren zonder echte bitcoin in te leggen, en wisselden deze tokens vervolgens in voor echte munten.
Verzekering is geen wondermiddel
Hoewel cryptobedrijven vaak verzekerd zijn tegen diefstal, betekent dat niet automatisch dat klanten volledig worden schadeloos gesteld. Verzekeringspolissen hebben vaak beperkingen: ze dekken slechts een deel van de schade, bepaalde soorten verlies kunnen uitgesloten zijn, of de uitkering is vastgesteld in dollars in plaats van bitcoins.
Neemt Coinbase als voorbeeld: hun criminaliteitsverzekering dekt een "deel" van de digitale activa tegen diefstal. Maar totale verliezen kunnen groter zijn dan de verzekering dekt. Bovendien worden verliezen door gestolen inloggegevens niet gedekt.
Het verschil tussen dollars en munten
Een ander risico: krijgt iemand 80.000 dollar als schadevergoeding voor één bitcoin, maar de prijs is inmiddels naar 100.000 dollar gestegen? Dan kan dat geld slechts 0,8 bitcoin kopen. Het bedrag is volledig terugbetaald, maar de eigenaar mist nog altijd deel van zijn bitcoin.
Wat bedrijven moeten doen
Financiële diensten moeten duidelijk uitleggen hoe schadevergoeding werkt: welke verliezen zij vergoeden, of dat in munten of dollars is, en hoe zij een gat tussen hun verplichting en verzekeringsuitkering zouden opvangen. Klanten hebben het recht deze informatie te kennen voordat zij hun crypto toevertrouwen.
