Перейти к основному контенту

Катастрофа OpSec в Южной Корее на 4,8 млн долларов: как Национальная налоговая служба сфотографировала собственную сид-фразу и была ограблена дважды за 48 часов

· 12 мин чтения
Dora Noda
Dora Noda
Software Engineer

Представьте себе рейд в квартиру человека, уклоняющегося от уплаты налогов, изъятие четырех аппаратных кошельков и последующую публикацию триумфального пресс-релиза с фотографией улик — на которой отчетливо видна сид-фраза кошелька. Теперь представьте, что вор опустошает кошелек в течение нескольких часов, возвращает токены в качестве предупреждения, а второй вор крадет их снова до того, как ваше ведомство успевает среагировать.

Это не мысленный эксперимент из крипто-Твиттера. Именно это произошло с Национальной налоговой службой (NTS) Южной Кореи в конце февраля 2026 года — оплошность, которая стоила правительству примерно 4,8 миллиона долларов в конфискованных токенах Pre-Retogeum (PRTG) и показала, насколько большинство государственных структур не готовы к хранению цифровых активов, которые они все чаще изымают.

Фотография ценой в 4,8 миллиона долларов​

Последовательность событий выглядит почти комично плохо. 26 февраля 2026 года агенты NTS провели обыск в доме налогоплательщика, имевшего задолженность по налогу на прирост капитала. Согласно данным CoinDesk, агенты изъяли как минимум четыре аппаратных кошелька и нераскрытую сумму наличных. До этого момента процедура шла стандартно.

Затем последовал пресс-релиз. Чтобы придать операции огласку, NTS организовала фотосъемку изъятых предметов — аппаратные кошельки Ledger были разложены рядом с бумажными карточками для резервного копирования, содержащими их мнемонические фразы для восстановления. Изображение было опубликовано в официальных каналах без какой-либо ретуши. Мнемоника из 12 или 24 слов была разборчива для любого, у кого был инструмент для создания скриншотов и терпение.

В течение нескольких часов, по сообщению The Block, наблюдатель восстановил сид-фразу, импортировал кошелек и начал его опустошать. Злоумышленник сначала отправил крошечное количество ETH для оплаты газа, а затем вывел 4 миллиона токенов PRTG — стоимостью около 4,8 миллиона долларов на тот момент — тремя транзакциями на новый адрес.

Как сказал корейской прессе блокчейн-аналитик Чо Джэ-у, этот инцидент был эквивалентен тому, чтобы «оставить кошелек открытым и объявить об этом всей стране».

Двойная кража, которая усугубила ситуацию​

История не закончилась на первом воре. Все стало еще более странным.

28 февраля первый злоумышленник, как сообщается, связался с корейской полицией, заявил, что действовал как «белый» хакер, и вернул весь баланс в 4 миллиона PRTG на исходный кошелек, контролируемый NTS. Поступок добросовестного гражданина — за исключением того, что NTS не сменила сид-фразу, не аннулировала скомпрометированные учетные данные и не переместила кошелек. Сид-фраза, утекшая 48 часами ранее, все еще оставалась активным ключом.

Через два часа после возврата средств второй злоумышленник — который, по-видимому, следил за той же открытой мнемоникой — снова опустошил кошелек и перевел весь баланс на адрес, уже помеченный блокчейн-обозревателями как связанный с «фейковым фишингом». На этот раз возвращать ничего не стали.

Две кражи. Один и тот же кошелек. Одна и та же сид-фраза. Разные злоумышленники. С интервалом менее 48 часов.

Второй вывод средств устранил любые сомнения в том, что пошло не так: NTS отнеслась к скомпрометированному кошельку так, будто он все еще в безопасности, потому что их протоколы хранения не предусматривали действий на случай, если сид-фраза станет достоянием общественности.

Почему это проблема управления, а не просто обучения​

Было бы легко представить это как постыдную ошибку одного ведомства — промах новичков-налоговиков, которые никогда не пользовались аппаратным кошельком. Но такая трактовка упускает из виду структурную проблему. Правительства по всему миру владеют огромными и растущими запасами конфискованной криптовалюты, и большинство из них распоряжается ими с операционной зрелостью любителя.

Рассмотрим прецеденты:

  • Германия в июле 2024 года продала 50 000 BTC, изъятых у пиратского сайта Movie2K, по средней цене 57 600 долларов за монету — общая выручка составила около 2,88 миллиарда долларов. Впоследствии биткоин вырос вдвое, а это означает, что тот же объем активов к концу года стоил бы более 5,5 миллиарда долларов. Управленческое решение о том, когда продавать, привело к бумажному убытку, превышающему объем многих национальных крипто-конфискаций.
  • Служба маршалов США в ходе аудита 2025 года не смогла точно сообщить генеральному инспектору Министерства юстиции, каким объемом криптовалюты она владеет. С тех пор она разделила мандат на хранение — Coinbase для активов первого класса с большой капитализацией и CMDSS для более сложных альткоинов классов 2–4.
  • Южная Корея разрабатывает «Базовый закон о цифровых активах», который позволит корпорациям направлять до 5% собственного капитала в топ-20 криптовалют. То же самое правительство не может обеспечить безопасность конфискованного кошелька Ledger.

Эта модель прослеживается во всех юрисдикциях: правоприменительная способность изымать криптовалюту опередила институциональную способность хранить ее, вести учет и, в конечном итоге, распоряжаться ею. Фотография сид-фразы в Корее — самый наглядный пример, но не самый дорогостоящий.

Стек технологий хранения, который правительствам следовало использовать уже давно​

В частном секторе все эти проблемы уже решены. Институциональное хранение цифровых активов — это зрелая категория продуктов с несколькими надежными архитектурами. Тот факт, что NTS хранила конфискованные монеты на обычном аппаратном кошельке — с бумажной сид-фразой, которую мог видеть любой в комнате для хранения вещдоков — свидетельствует о решении обращаться с криптовалютой как с наличными деньгами, а не как с инструментом на предъявителя, требующим криптографического хранения.

Минимальный стек для цифровых активов, удерживаемых государством, в 2026 году выглядит примерно так:

  1. Кошельки с многосторонними вычислениями (MPC). Провайдеры вроде Fireblocks разделяют закрытый ключ на доли, распределенные между несколькими сторонами и аппаратными модулями. Ни один агент никогда не владеет ключом целиком; ни одна фотография не может его раскрыть. В сравнении индустрии от Ridgeway Financial Services рассматриваются архитектурные компромиссы между DFNS, Fireblocks и Anchorage.
  2. Квалифицированные кастодианы с банковской лицензией. Anchorage Digital обладает единственной федеральной банковской лицензией OCC в криптосфере и уже обслуживает BlackRock и PayPal. Для налогового органа правильной моделью, вероятно, является наем квалифицированного кастодиана, а не создание собственной инфраструктуры хранения — точно так же, как большинство правительств не печатают собственные бумажные деньги самостоятельно.
  3. Холодное хранение на базе HSM для долгосрочного владения. Аппаратные модули безопасности (HSM), соответствующие стандарту FIPS 140-2 Level 3, хранят ключи внутри защищенного от несанкционированного доступа кремния. Ключи можно использовать для подписи, никогда не экспортируя их на носитель, видимый человеку.
  4. Программное обеспечение для соблюдения цепочки владения и политик переводов. Платформы институционального уровня обеспечивают подтверждение транзакций несколькими подписантами, ведение белых списков для вывода средств и журналов аудита. Рабочий процесс «смена ключей и перевод на новый кастодиальный адрес» после конфискации должен быть обязательным первым шагом, а не второстепенной мыслью.
  5. Стандартные операционные процедуры для публичных коммуникаций. Самый дорогостоящий провал не был криптографическим. Это было решение команды по коммуникациям опубликовать непроверенную фотографию. Любой зрелый режим хранения относится к сид-фразам как к секретным материалам наравне с криптографическими ключами, защищающими государственную связь.

NTS обязалась внедрить все это задним числом. Заместитель премьер-министра и министр финансов Южной Кореи Ку Юн Чхоль публично подтвердил утечку и объявил о начале межведомственного расследования с участием Комиссии по финансовым услугам (FSC) и Службы финансового надзора (FSS). Налоговое агентство заявило, что проведет внешний аудит безопасности и перепишет свое руководство для всего цикла — от конфискации до продажи. Cointelegraph сообщает, что NTS активно изучает возможность передачи конфискованной криптовалюты на хранение частным специалистам.

Это правильное направление. И это должно было стать официальной политикой до появления фотографии, а не после.

Неудобный прецедент для регулируемых инвесторов​

Здесь есть вторичная история, которая будет иметь большее значение, чем сама потеря 4,8 млн долларов.

Базовый закон Южной Кореи о цифровых активах (Digital Asset Basic Act) разработан для того, чтобы вывести корпоративные казначейства и профессиональных инвесторов на регулируемые рельсы. Эта структура зависит от простой предпосылки: государство является компетентным распорядителем цифровых активов и может надежно контролировать распоряжение активами со стороны других лиц. Каждый цикл новостей, в котором государственное агентство демонстрирует, что не может удержать сид-фразу от попадания на фото в пресс-релизе, подрывает эту предпосылку.

Это противоречие отчетливо видно, если сопоставить события по времени. FSC и Банк Кореи месяцами спорят о том, должны ли эмитенты стейблкоинов в большинстве своем принадлежать банкам. Предлагаемое правило о 5% корпоративных аллокаций обсуждается в контексте того, какие активы подходят, какие кастодианы одобрены и какие коэффициенты резервирования применяются. Тем временем другое подразделение того же правительства отправляет кошельки в суд с комбинацией, написанной на внешней стороне портфеля.

Для институциональных инвесторов, которых пытается привлечь Базовый закон о цифровых активах, сигнал ясен: регулируемая ончейн-инфраструктура появится, но самим регуляторам еще нужно усвоить уроки самостоятельного хранения последнего десятилетия. На преодоление этого разрыва потребуется время.

Операционные уроки, которые стоит перенять каждому разработчику​

Для команд протоколов, кастодиальных бирж и всех остальных, кто может однажды взаимодействовать с хранилищами правоохранительных органов — будь то для возврата украденных средств или реагирования на законную конфискацию — корейский инцидент является кейсом, который стоит запомнить.

  • Считайте любой ключ потенциально скомпрометированным в тот момент, когда он покидает ваши операционные границы. Вторая потеря NTS была полностью предотвратима. При приеме на хранение аппаратного кошелька правильным шагом является немедленный перевод (sweep) баланса на заново сгенерированный адрес, контролируемый агентством. Изъятый кошелек больше никогда не должен использоваться, независимо от того, была ли раскрыта его сид-фраза.
  • Предполагайте, что сид-фразы утекают, и проектируйте системы с учетом этого предположения. «Скрытые» кошельки, защищенные парольной фразой (так называемое 25-е слово), дешевы в реализации и делают изолированную сид-фразу бесполезной. Кошельки под принуждением (duress wallets) идут еще дальше в сценариях физической угрозы.
  • Отделяйте фотографирование улик от ключевых материалов. Аппаратные кошельки можно фотографировать без карточек восстановления. Карточки восстановления можно регистрировать по серийному номеру или хеш-обязательству без публикации самих слов. Стандартные рабочие процессы с уликами уже делают это для таких вещей, как уникальные идентификаторы на огнестрельном оружии — криптовалюта заслуживает такой же дисциплины.
  • Логируйте все в многопользовательских системах. Архитектуры мультисиг или MPC вынуждают как минимум двух человек участвовать в выводе средств, что является наиболее эффективной защитой как от инсайдерских ошибок, так и от единичных точек отказа.

BlockEden.xyz управляет инфраструктурой RPC и индексации корпоративного уровня в более чем 20 сетях, включая ончейн-конвейеры данных, используемые командами по соблюдению нормативных требований и форензике. Если вы создаете инструменты для хранения, мониторинга или восстановления активов для институциональных или государственных клиентов, изучите наш маркетплейс API для получения надежных мультичейн-данных, выдерживающих аудит.

Что будет дальше​

Налоговое управление Южной Кореи извлечет уроки из этого конфуза и обновит свои регламенты. Вероятно, то же самое сделают и коллеги NTS из других юрисдикций, наблюдавшие за развитием этой истории в режиме реального времени. В течение следующего года следует ожидать негласных объявлений о закупках, поскольку национальные налоговые органы, полицейские службы и прокуратуры начнут привлекать квалифицированных кастодианов и платформы MPC вместо того, чтобы самостоятельно управлять аппаратными кошельками.

Но более глубокий смысл этой истории заключается в том, что эпоха правительств как пассивных наблюдателей за криптосферой подходит к концу. Они становятся активными кастодианами, аукционными домами и — все чаще — регуляторами той самой инфраструктуры, которую используют их собственные ведомства. Каждая публичная ошибка, подобная фотографии Ledger, сокращает разрыв между операционной зрелостью государственного сектора и стандартами, которые частный сектор совершенствует с 2013 года.

Потеря 4,8 млн долларов в PRTG не станет последним подобным случаем. При определенном везении он станет одним из самых поучительных.

Источники​

Share on Twitter