Zagadka roku, czyli gdzie się podziały wszystkie bitcoiny z MtGox

Aaaand it;s gone!

Historia losów MtGox jest wyjątkowa, ponieważ nie co dzień zdarza się komuś zgubić bez śladu pół miliarda dolarów. Jest kilka możliwych wyjaśnień tej największej zagadki ostatnich dni – spróbujmy zatem je uporządkować i ocenić.

Problemy z operacjami na MtGox trwały już od wielu miesięcy, kiedy na początku lutego giełda zawiesiła wypłaty BTC, a kilkanaście dni później zniknęła z sieci. Różne źródła wskazują, że w tajemniczych okolicznościach z MtGox wyparowało ponad 740 000 BTC. Gdzie podział się taki majątek? Kto się do tego przyczynił? Teorii jest sporo, a część z nich brzmi wiarygodnie.

Spreparowane transakcje

Oficjalnie przytoczonym powodem zawieszenia działania giełdy były problemy z protokołem bitcoin, znane od 2011 roku, zwane transaction malleability. W skrócie – transakcja BTC jest podpisywana, ale podpis nie obejmuje wszystkich jej elementów. Jeśli atakujący, korzystający ze zmodyfikowanego klienta, znajdujący się w odpowiednim miejscu sieci, zauważy nową transakcję i bardzo szybko ją zmodyfikuje i wstrzyknie zmodyfikowaną wersję do sieci, to jego „wersja” transakcji może zostać uznana za właściwą. W ten sposób może dojść do transferu środków, podczas kiedy pozornie transakcja będzie wyglądać na nieudaną i atakujący może prosić o ponowne przesłanie BTC (lub system – jeśli jest tak skonfigurowany – może automatycznie powtórzyć transfer).

Czy spreparowanie transakcji jest technicznie możliwe? Tak. Czy zostało zaobserwowane ostatnio w sieci? Tak. Czy te ataki miały miejsce przed 7 lutego i czy ich skala może uzasadniać rozmiar strat MtGox? Według analiz nic na to nie wskazuje.

Konfiskata środków

W jednej z rozmów na IRCu właściciel, prezes i główny programista MtGox, Mark Karpeles, zasugerował, że jego dostęp do środków został „tymczasowo ograniczony”. Teoria o konfiskacie portfeli MtGox znajduje również poparcie we wcześniejszych wydarzeniach. Giełda w maju zeszłego roku straciła w USA dostęp do swoich rachunków bankowych, na których trzymała ok. 5 mln USD (powodem był brak rejestracji firmy w odpowiednim urzędzie). Wiadomo także, że amerykańskie organa ścigania aktywnie szukają związków różnych osób i firm z zamkniętym narkotykowym bazarem Silk Road, a ofiara tych działań został niedawno prezes firmy BitInstant.

Czy rząd amerykański lub japoński mogły skonfiskować środki MtGox? Prawdopodobnie tak. Czy mogły narzucić firmie zachowanie w tej kwestii milczenia? Prawdopodobnie tak. Brak jednak jakichkolwiek potwierdzonych sygnałów ze strony MtGox, by do takiej operacji faktycznie doszło.

Zgubione klucze prywatne

„Tymczasowo ograniczony dostęp do środków” nie musi oznaczać ich konfiskaty – MtGox mógł po prostu zgubić prywatne klucze do portfeli. W 2011 podobny los spotkał polską giełdę Bitomat, której właściciel usunął przez pomyłkę zarówno klucze do portfeli z 17 000 BTC jak i ich kopię bezpieczeństwa. Co ciekawe, Bitomat został wówczas wykupiony przez MtGox, a jego założyciel został prokurentem polskiej spółki firmy. Zgubić klucze można na wiele sposobów. Można zapomnieć hasła, można błędnie wygenerować pary kluczy prywatnych i publicznych, można też stracić w katastrofie nośniki z zapisanymi portfelami. Biorąc jednak pod uwagę skalę działalności MtGox trudno sobie wyobrazić, by środki były w jednym portfelu, a zgubienie kluczy do wielu portfeli wydaje się być mało prawdopodobne.

Technicznie możliwe? Tak. Wydarza się w rzeczywistym świecie? Raczej nie lub nie na taką skalę.

Inne teorie

Pierwsze, co przychodzi na myśl, gdy mowa o stracie ogromnej ilości BTC, to hakerzy. Gdy w grę wchodzą tak ogromne sumy, trudno uwierzyć, by zabezpieczenia MtGox nie były testowane przez najbardziej utalentowanych i najbardziej kreatywnych włamywaczy. Biorąc pod uwagę fakt, że większość środków giełdy była rzekomo trzymana w zimnym portfelu, nie podłączonym do sieci, można przypuszczać, że teoria o stopniowym wycieku środków może mieć sens. Mądry włamywacz kradłby powoli i systematycznie, by zmuszać giełdę do zasilania gorącego portfela środkami z portfela zimnego. Dodatkowo, opróżniwszy zasoby firmy, usunąłby wszystkie ślady swoich operacji, utrudniając udowodnienie włamania. Skoro nieautoryzowane programy komputerowe potrafiły popsuć wirówki w tajnej, podziemnej fabryce wzbogacającej materiały rozszczepialne, to możliwe, że także kradły BTC z kiedyś najpopularniejszej giełdy tej waluty.

Innym możliwym wątkiem są błędy w działaniu systemu transakcyjnego lub samych mechanizmów bazodanowych. W przypadku systemów obsługujących dużą ilość transakcji zapewnienie rzetelności ich rejestracji wymaga doświadczenia w tworzeniu tego rodzaju oprogramowania, a autorem większości kodu obsługującego MtGox był rzekomo sam jego właściciel. Być może genialny programista potrafi samodzielnie stworzyć bezawaryjny system tej skali, jednak bez wątpienia jest to trudne zadanie. Warto też wspomnieć, że MtGox zdarzyło się stracić BTC z powodu błędnie wygenerowanej transakcji.

Teorią, która na pewno przewija się głowach osób, którym MtGox winien jest spore sumy, jest także oszustwo jego właściciela. Nie byłby to pierwszy tego typu przypadek w historii BTC, ale biorąc pod uwagę wszelkie dostępne do tej pory informacje albo jest to mało prawdopodobne, albo Mark Karpeles jest geniuszem zła.

A może zwykła nieudolność?

Wytłumaczeniem, które wiąże się ze wszystkimi wymienionymi powyżej scenariuszami, jest nieudolność właściciela MtGox. Zacznijmy od tego, że w tajemniczy sposób zgubił (jak twierdzi, na przestrzeni wielu miesięcy) ponad 740 000 BTC. Jak można nie zauważyć wcześniej takiej straty? W wywiadzie z anonimowym byłym pracownikiem MtGox czytamy, że firma nie posiadała żadnego systemu uzgadniania sald rachunków. Choć początkowo trudno w to uwierzyć, to informacja ta wpisuje się w całokształt działalności właściciela.

Inne źródła podają, że Mark Karpeles wiedział o dziurze w systemie, pozwalającej na podwójną wypłatę środków, co najmniej od października 2013, jednak nie docenił powagi sytuacji. Według byłego pracownika giełda trzymała 90% swoich środków w zimnych portfelach w formie papierowej lub elektronicznej w skrytkach bankowych i uzupełniała gorący portfel w miarę potrzeb. Jako że nie prowadzono ewidencji dostępnych środków, dopiero sytuacja, w której okazało się, że zimny portfel jest pusty, ujawniła skalę strat.

Sam właściciel MtGox, z pochodzenia Francuz, w wieku ok. 28 lat, był autorem kodu źródłowego mechanizmów transakcyjnych giełdy. Wydaje się to co najmniej zaskakujące, ponieważ jeszcze w roku 2011, krótko po wycieku bazy danych użytkowników giełdy, kwestionował publicznie możliwość złamania haszy haseł (używających MD5 Crypt lub czystego MD5). Był także chyba jedynym prezesem firmy, obracającej setkami milionów dolarów, którego można było spotkać na co dzień na kanale IRC, a jedynego wywiadu telewizyjnego udzielił siedząc na dużej, dmuchanej piłce.

Podsumowanie

Gdzie zatem podziało się 740 000 BTC? Wiele wskazuje na to, że odpowiedzi na to pytanie nie zna nawet sam Mark Karpeles. Oznacza to, że może nigdy nie dowiemy się, czy BTC zgubił, ukradł, czy też dał ukraść sobie i swoim klientom. Sytuację zdecydowanie najlepiej opisuje ten klasyczny już fragment serialu South Park.

Na zakończenie ankieta

 Loading ...