Google zapowiada system zabezpieczeń dla kryptowalut przed premierą w 2027 roku

Google ujawnił plany dotyczące usługi zabezpieczeń kryptowalut, która rozdziela kontrolę nad kluczami prywatnymi w różnych środowiskach obliczeniowych, z zamiarem wprowadzenia jej na rynek na początku 2027 roku, gdy instytucje finansowe poszukują silniejszej ochrony dla aktywów cyfrowych.

Podsumowanie

• Google zapowiada instytucjonalną usługę zabezpieczeń kryptowalut, której komercyjna dostępność planowana jest na początku 2027 roku.
• Alphabet rzekomo wykorzystuje tę technologię do zabezpieczania nieokreślonych aktywów cyfrowych na Ethereum i Solana.
• MPC rozdziela uprawnienia do podpisywania transakcji w różnych środowiskach, zamiast koncentrować kontrolę w jednym kluczu prywatnym.
• Proponowana usługa Google będzie konkurować z ustalonymi dostawcami zabezpieczeń instytucjonalnych, w tym Fireblocks i Fordefi.
• Google planuje wsparcie dla podpisów ECDSA i Ed25519, podczas gdy aktualizacje post-kwantowe nie mają ogłoszonej daty wydania.

Google Multi-Party Compute przechodzi prywatne testy z udziałem kilku dużych instytucji finansowych przed swoją prezentacją na inauguracyjnym sympozjum aktywów cyfrowych firmy w Nowym Jorku, zgodnie z raportem CoinDesk. Alphabet, firma macierzysta Google, rozpoczęła korzystanie z tej technologii do zabezpieczania swoich aktywów cyfrowych na Ethereum i Solana.

Tymczasem firma nie ujawnia nazw instytucji finansowych testujących usługę ani nie informuje, jakie aktywa Alphabet posiada za pośrednictwem tego systemu. Ceny pozostają niedostępne, a planowane wprowadzenie na rynek zależy od zakończenia programu zapoznawczego.

Google wprowadza zabezpieczenia MPC dla instytucjonalnej opieki nad kryptowalutami

Google Multi-Party Compute wykorzystuje techniki kryptograficzne, które dzielą kontrolę nad kluczem prywatnym pomiędzy kilku niezależnych uczestników. Uprawnione strony współpracują, aby podpisywać transakcje blockchain bez gromadzenia całego klucza prywatnego w jednym miejscu, co zmniejsza zależność od jednego urządzenia lub administratora.

Zgodnie z proponowaną architekturą Google, instytucje mogą rozdzielać udziały w podpisach pomiędzy własnym sprzętem, Google Cloud i konkurencyjnymi dostawcami chmury. Bank mógłby wymagać zatwierdzenia od dwóch z trzech uczestników lub pięciu z siedmiu przed autoryzacją transferu.

Usługa obejmuje polityki transakcyjne zaprojektowane do sprawdzania żądań przed rozpoczęciem podpisywania. Instytucje mogą ograniczać adresy docelowe, nakładać limity transferów lub wymagać dodatkowych zatwierdzeń, przy czym te kontrole działają w środowisku Google Confidential Space.

Wcześniej Google opublikował wskazówki techniczne w kwietniu 2023 roku, wyjaśniając, jak organizacje mogą budować systemy podpisów rozproszonych przy użyciu Confidential Space. Proponowany produkt łączy podobne możliwości z politykami podpisów i narzędziami do odzyskiwania w dedykowanej usłudze.

Istniejące produkty Google Cloud Key Management Service i Cloud HSM już chronią klucze kryptograficzne. Nowa oferta koncentruje się szczególnie na wymaganiach dotyczących autoryzacji i odzyskiwania aktywów cyfrowych, gdzie zakończona transakcja blockchain zazwyczaj nie może być cofnięta.

Naruszenia kluczy prywatnych ujawniają słabości infrastruktury kryptowalut

Planowana usługa Google pojawia się w momencie, gdy skompromitowane dane uwierzytelniające pozostają stałym źródłem strat w kryptowalutach. Chainalysis oszacował, że kompromitacje kluczy prywatnych stanowiły 43,8% skradzionych kryptowalut w 2024 roku.

Czerwcowy incydent związany z Humanity Protocol ilustruje, jak wiele danych uwierzytelniających do podpisu może stać się podatnych na atak poprzez jedno skompromitowane urządzenie. Jak donosił crypto.news po dochodzeniu, napastnik uzyskał siedem kluczy prywatnych przechowywanych na komputerze dewelopera i wykorzystał je do uzyskania dostępu do kontroli administracyjnej.

Skradzione dane uwierzytelniające umożliwiły nieautoryzowane transakcje i zmiany umów na Ethereum i BNB Smart Chain. Humanity Protocol stwierdził, że atak obejmował ważne podpisy generowane przy użyciu skompromitowanych kluczy, a nie podstawowej wady w jego umowach blockchain.

Podejście Google ma na celu ograniczenie takiej koncentracji uprawnień do podpisu. Jego bezpieczeństwo nadal zależy od tego, jak klienci rozdzielają swoje udziały kluczy, chronią administratorów i zarządzają politykami zatwierdzania.

Badanie dotyczące kontroli przechowywania kryptowalut przez instytucje z października wyjaśniło, że dystrybucja poświadczeń nie eliminuje ryzyka operacyjnego, jeśli kilku uczestników podpisujących dzieli te same uprawnienia administracyjne lub systemy odzyskiwania.

Google wchodzi na rynek obsługiwany przez wyspecjalizowanych dostawców przechowywania

Proponowana usługa zbliża infrastrukturę chmurową Google do uznanych dostawców bezpieczeństwa aktywów cyfrowych, w tym Fireblocks, Fordefi i BitGo. Instytucje już korzystają z wyspecjalizowanych platform do zarządzania portfelami, kontrolowania zatwierdzeń transakcji i utrzymywania rejestrów ruchów aktywów.

Google celuje w banki, które chcą zachować bezpośrednią kontrolę nad swoimi operacjami przechowywania, korzystając jednocześnie z zewnętrznej technologii. Jego usługa miałaby zapewnić infrastrukturę podpisywania bez konieczności przekazywania własności prywatnych kluczy do Google.

We wrześniu UniCredit badał infrastrukturę przechowywania aktywów cyfrowych i pośrednictwa, gdy europejskie banki rozwijały usługi dla kryptowalut i tokenizowanych papierów wartościowych. Fireblocks oddzielnie dostarczył technologię portfeli i tokenizacji konsorcjum bankowemu Qivalis.

Google nie ujawnili wskaźników wydajności porównujących proponowany system z istniejącymi produktami komercyjnymi. Tożsamości jego partnerów testowych pozostają poufne, co sprawia, że skala początkowego uczestnictwa instytucjonalnego jest nieznana.

Zagrożenia związane z AI rodzą pytania o przyszłe bezpieczeństwo portfeli

Google pozycjonuje swoją usługę częściowo w odpowiedzi na cyberataki z wykorzystaniem coraz bardziej zaawansowanych narzędzi AI. Chainalysis zgłosił, że oszustwa związane z dostawcami narzędzi AI generowały średnie przychody w wysokości 3,2 miliona dolarów na operację w 2025 roku, w porównaniu do 719 000 dolarów dla oszustw bez takich powiązań.

Porównanie to mierzy przychody związane z różnymi grupami oszustw. Nie ustala, że AI spowodowało wyższe straty ani że MPC mogło zapobiec tym schematom.

Badacz Ethereum Justin Drake ostrzegł przed możliwymi postępami AI, które mogą ostatecznie osłabić założenia kryptograficzne chroniące portfele blockchain. Żaden publicznie demonstrowany system AI nie może obecnie wydobyć zwykłych prywatnych kluczy Bitcoin lub Ethereum, łamiąc ich podstawowe algorytmy podpisu.

Google powiedział, że proponowana usługa będzie wspierać podpisy ECDSA i Ed25519 przy ogólnej dostępności. Jej architektura ma na celu dostosowanie się do przyszłych aktualizacji kryptografii post-kwantowej, chociaż firma nie ogłosiła harmonogramu dodawania tych metod podpisywania.

Firma nie ujawnili dokładnej daty komercyjnego wydania poza początkiem 2027 roku ani nie zidentyfikowała pierwszych instytucji, które mają przyjąć usługę po prywatnych testach.