Полиция Южной Кореи случайно опубликовала seed-фразу от конфискованного криптокошелька с $5,6 млн. Хакер за несколько часов украл 4 млн токенов PRTG стоимостью $4,8 млн — практически всю сумму.
Налоговая служба Кореи опубликовала пресс-релиз о конфискации криптовалют у 124 уклонистов от налогов. Чтобы материал выглядел «более привлекательно», к релизу прикрепили фотографии улик — включая снимок Ledger-кошелька с рукописной запиской рядом.
На записке была написана полная мнемоническая фраза — 12-24 слова, которые работают как мастер-ключ к кошельку. Любой, кто видит эту фразу, может восстановить доступ к кошельку без PIN-кодов или дополнительных разрешений.
Как прошла кража
Блокчейн-аналитик Чо Чжэ-у проследил операции через Etherscan. Хакер сначала перевёл небольшую сумму ETH на кошелёк для покрытия комиссий, затем вывел 4 млн токенов PRTG тремя транзакциями.
Пресс-релиз быстро разошёлся по местным СМИ и техническим изданиям. К моменту, когда полиция поняла ошибку и удалила фото, было уже поздно.
Для справки: seed-фраза (мнемоническая фраза) — набор слов для восстановления криптокошелька. Работает как пароль администратора — кто знает фразу, тот владеет всеми средствами на кошельке.
Серия провалов
Это уже третий случай потери криптовалют южнокорейской полицией за два месяца. В январе в Кванджу «исчезла существенная сумма биткоинов» после фишинговой атаки на Coinbase. В феврале полиция района Каннам потеряла 22 биткоина — холодный кошелёк внезапно опустел, хотя физическое устройство не покидало участок.
Налоговая служба «глубоко извинилась» и запустила расследование совместно с национальной полицией. Но подозреваемых нет — хакером может быть кто угодно из тысяч людей, видевших пресс-релиз.
Что дальше
Единственный шанс вернуть средства — если вор попытается обналичить токены через регулируемую биржу. Но эксперты сомневаются: при текущих рыночных условиях продать $4,8 млн токенов незаметно почти невозможно.
Чо сравнил публикацию seed-фразы с тем, что «оставить кошелёк широко открытым». Первоначальный владелец Ledger всё делал правильно — хранил фразу только на бумаге, не в цифровом виде. Полиция должна была проверить фотографии перед публикацией.
Случай показывает критическую важность кибербезопасности при работе с конфискованными криптоактивами — одна необдуманная фотография может стоить казне миллионы долларов.