Pelanggaran CoinDCX Menimbulkan Kebimbangan Industri: Adakah Ancaman Orang Dalam Pembunuh Senyap Crypto?

Pertukaran crypto utama India menghadapi sabotaj dalaman

Dunia crypto tidak asing dengan penggodaman — tetapi kali ini, musuh datang dari dalam. CoinDCX, salah satu bursa crypto terbesar di India, baru-baru ini mengalami kerugian ₹379 crore (kira-kira $45 juta) dalam apa yang kini disahkan sebagai pelanggaran orang dalam. 

Seorang bekas pekerja didakwa mengeksploitasi sistem dalaman untuk menyedut dana selama beberapa minggu, menghantar gelombang kejutan melalui komuniti aset digital.

Walaupun kebanyakan perhatian sering tertumpu pada penggodaman luaran, kes CoinDCX menimbulkan persoalan yang lebih kompleks dan semakin mendesak: Apakah yang berlaku apabila risiko terbesar kepada dana pengguna berada di dalam dinding syarikat?

Apa yang berlaku di CoinDCX?

Pada 26 Julai, polis Bengaluru menahan seorang jurutera perisian berusia 27 tahun berhubung kecurian itu. Laporan mencadangkan pekerja mempunyai akses kepada alat penyepaduan dompet dalaman yang digunakan untuk peruntukan kecairan dengan bursa luaran. 

Menggunakan kelayakan log masuk istimewanya, dia didakwa memindahkan dana pelanggan dan syarikat ke dompet persendirian, dengan bijak mengelak pengesanan dengan menggabungkan aktiviti pertukaran biasa.

Agarwal telah ditangkap berikutan aduan daripada Neblio Technologies, syarikat induk CoinDCX. Laporan polis bahawa komputer riba kerja Agarwal yang dikompromi adalah cara penggodam berjaya mengakses pelayan dalaman CoinDCX dan menjalankan transaksi. 

Agarwal setakat ini memainkan mangsa. Dia telah mengakui menggunakan komputer riba kerja yang dikompromi sambil menyinari bulan dengan syarikat crypto lain selain daripada CoinDCX. Ini adalah menyalahi undang-undang di bawah dasar pekerja bursa. 

Polis percaya bahawa Agarwal telah terjebak dalam kerja "penipuan tugas", yang melibatkan menyelesaikan tugas asas seperti menulis ulasan Google untuk jumlah wang yang ditetapkan. Adalah dipercayai bahawa dengan menggunakan Agarwal, penggodam berjaya mendapatkan akses kepada sistemnya. Penyiasat percaya kecurian itu dilakukan tanpa perisian hasad atau pancingan data yang canggih. Ia, pada terasnya, adalah penyalahgunaan kepercayaan dalaman dan infrastruktur.

Polis juga melaporkan —"Jika ia pemindahan bank biasa, akaun tersebut mungkin telah dibekukan. Dalam kes ini, tiada peraturan mengenai mata wang kripto, dan hampir mustahil untuk mengesan jejaknya."

Walaupun terdapat laporan bahawa Agarwal telah dieksploitasi, dia telah ditangkap dan dihantar ke tahanan kehakiman. Agarwal kini dalam tahanan polis untuk siasatan lanjut.

Perkara yang menjadikan kes ini amat membimbangkan bukan hanya jumlah yang dicuri, tetapi kaedahnya — orang dalam dengan kelemahan sistem yang menyalahgunakan akses dipercayai dan jurang pengawasan. 

Adakah syarikat crypto bersedia untuk ancaman orang dalam?

Kes CoinDCX bukanlah terpencil. Siasatan Brave New Coin baru-baru ini terhadap risiko orang dalam mengetengahkan bagaimana pelaku dalaman kini mewakili segmen pelanggaran keselamatan kripto yang semakin meningkat — terutamanya apabila platform berskala dan memberikan akses kepada lebih ramai pekerja teknikal, vendor dan penyedia perkhidmatan pihak ketiga.

Artikel itu menerangkan - "Kaedah kemasukan mereka bergantung pada diserahkan kunci kepada istana, bukan melalui penggodaman kekerasan atau eksploitasi sifar hari, tetapi dengan mendapatkan akses yang sah sebagai ahli pasukan yang dipercayai."

Tidak seperti serangan luar yang bergantung pada pelanggaran pertahanan, ancaman orang dalam sering memintas sama sekali. Sekali masuk, pelakon ini boleh:

• Penyalahgunaan alatan pentadbir untuk mengeluarkan dana
• Ubah log audit untuk menyembunyikan jejak mereka
• Mengeksploitasi pepijat dalam sistem pemindahan dalaman
• Bocorkan data pengguna atau syarikat yang sensitif

Malah firma dengan postur keselamatan luaran yang teguh sering ketinggalan dalam hal kawalan akses, audit dalaman dan pemantauan pengguna istimewa.

Apakah yang boleh dilakukan oleh CoinDCX — dan industri — secara berbeza?

Pelanggaran ini telah mendorong seruan untuk tadbir urus dalaman yang lebih baik dalam bursa crypto. Inilah yang disarankan oleh pakar:

1. Seni bina amanah sifar: Semua tindakan dalaman, walaupun oleh pekerja, mesti disahkan dan dilog.
2. Pengasingan tugas: Fungsi dompet kritikal harus memerlukan kelulusan berbilang pihak.
3. Audit proaktif: Audit dalaman yang kerap boleh membantu menangkap transaksi yang tidak normal lebih awal.
4. Pengurangan akses: Hadkan akses pekerja kepada apa yang mereka perlukan sahaja — dan tidak lebih.
5. Program hadiah pepijat: Galakkan penggodam topi putih mencari kelemahan sebelum orang dalam melakukannya.

Bagi CoinDCX, membina semula kepercayaan bermakna melaksanakan pagar ini dengan cepat, berkomunikasi secara telus dan berpotensi menyerahkan kepada audit pihak ketiga.

Perkara yang perlu ditanya oleh pengguna sebelum memilih pertukaran kripto

Insiden CoinDCX menimbulkan persoalan baharu untuk pengguna dan pelanggan institusi:

• Adakah pertukaran anda menggunakan dompet berbilang sig dan penjaga luar?
• Adakah proses dalaman disemak oleh pihak ketiga?
• Adakah mereka menerbitkan sebarang laporan ketelusan keselamatan?
• Adakah terdapat insurans atau pelan pemulihan jika berlaku penipuan dalaman?