Криптовалютное казино Duelbits пережило масштабный взлом: нарушители получили доступ к горячим кошелькам платформы и вывели активы сразу через несколько блокчейнов. По данным анализа, приблизительно $6 млн из $7 млн украденного в данный момент скапливаются на одном адресе в сети Ethereum, что позволяет отследить движение средств. Платформа отключилась и перешла в режим расследования.
Такие инциденты в крипто-индустрии обычно указывают на критические проблемы в управлении доступом либо компрометацию приватных ключей разработчиков или сотрудников. Горячие кошельки по определению держат активы онлайн и более уязвимы, чем холодные хранилища — это стандартный риск, но его масштаб здесь явно свидетельствует либо о неправильной архитектуре системы безопасности, либо об утечке критических данных изнутри.
Дело не в том, что взлом невозможен — это происходит регулярно, — а в том, что Duelbits явно не следовал базовому принципу: большая часть средств должна находиться в холодных хранилищах, доступных только через многоподписный механизм или аппаратные кошельки. $7 млн в горячем кошельке для сервиса с пользовательскими депозитами — это уже сомнительное управление рисками.
На фоне этого инцидента вновь встаёт вопрос о регуляции криптовалютных казино и обслуживающей их инфраструктуры. В отличие от традиционных казино, крипто-платформы часто действуют в серой зоне либо вовсе без лицензии, что ослабляет требования к аудитам безопасности и резервированию активов. Для пользователей это означает, что их средства фактически никем не гарантированы и зависят только от компетентности компании в области кибербезопасности.
История Duelbits — очередной сигнал для тех, кто пользуется криптовалютными сервисами: депозиты на казино, особенно малоизвестные, связаны с высоким риском. Даже если техническая реализация казино честная (что не гарантировано), безопасность кошельков часто остаётся на уровне стартапа, а не зрелой финтех-компании.
В России криптовалютные казино находятся в сложном правовом статусе: закон о регулировании криптовалют развивается медленно, а прямое онлайн-гемблинг запрещён. Однако это не означает отсутствие российских пользователей на таких платформах через VPN. Инцидент с Duelbits показывает, что выбирать платформу нужно не по красивому интерфейсу и щедрым бонусам, а по репутации и транспарентности в управлении активами. Отечественные финтех-проекты, работающие с активами (включая те, которые используют блокчейн), должны брать этот инцидент как напоминание о необходимости investировать в security-культуру с самого начала, а не добавлять её позже, когда уже произойдёт взлом.