Sydkoreas skattemyndighet läcker återställningsfras i pressbilder och förlorar kryptotillgångar

Sydkoreas nationella skattemyndighet ville göra ett pressmeddelande om beslagtagna kryptotillgångar ”mer iögonfallande”. Resultatet blev att myndigheten publicerade bilder av en hårdvaruplånbok bredvid en handskriven återställningsfras – och fick se omkring 5 miljoner dollar i beslagtagna värdebevis försvinna.

Enligt Ars Technica hade myndigheten meddelat att man beslagtagit ungefär 5,6 miljoner dollar i kryptovaluta från 124 förmögna skattesmitare. I bildmaterialet syntes en tydligt läsbar mnemonisk återställningsfras, den huvudnyckel som gör att vem som helst kan återskapa plånboken och flytta tillgångarna utan att ha den fysiska enheten. Blockkedjeanalytikern Cho Jae-woo uppgav i lokala medier att plånboken innehöll 4 miljoner PRTG-värdebevis (Pre-Retogeum), värda cirka 4,8 miljoner dollar när tjuven slog till.

Spår i blockkedjan, beskrivna av The Block, visar ett välkänt angreppssätt: angriparen skickade först in en liten mängd eter till den beslagtagna plånboken för att betala transaktionsavgifter och förde därefter ut PRTG-värdebevisen i tre överföringar. Det är en detalj som blottlägger vad ”förvaring” betyder i kryptovärlden: kontroll handlar inte om att lägga en apparat i ett bevisförråd, utan om att behärska en hemlighet. När hemligheten blir offentlig är tillgången i praktiken borta.

Skattemyndigheten tog bort pressmeddelandet och bad senare offentligt om ursäkt med hänvisning till att man misslyckats med att maskera känslig information. Myndigheten uppgav också att den inlett en utredning tillsammans med nationell polis och skulle försöka spåra överföringen och återvinna tillgångarna. Men till skillnad från en banköverföring finns ingen central motpart som kan rulla tillbaka en transaktion. Bästa möjligheten är att tjuven förr eller senare rör vid en reglerad handelsplats, där kontroller av kundkännedom kan skapa en strypunkt.

Händelsen passar dessutom in i ett mönster. Ars Technica hänvisar till uppgifter om andra sydkoreanska misslyckanden med förvaring, däribland försvunna beslagtagna bitcoin i Gwangju och en intern granskning i Seouls distrikt Gangnam efter att 22 beslagtagna bitcoin försvunnit ur en kall plånbok utan att enheten lämnat polisens kontroll. Oavsett om det rörde sig om nätfiske, intern åtkomst eller slarviga rutiner pekar fallen mot samma glapp: offentliga myndigheter förväntas bedriva nyckelhantering med extrem disciplin, utan de incitament och den verktygsnivå som privata förvarare bygger upp när de själva bär kostnaderna för misslyckanden.

Förvaring av kryptotillgångar går i teorin att göra robust: flersignaturlösningar, hårdvarubaserade säkerhetsmoduler, luftgapade rutiner och strikt åtkomstloggning finns just för att minska sårbarheten i enskilda felpunkter. Men sådana kontroller är dyra, långsamma och operativt obarmhärtiga. En pressavdelning som belönas för uppmärksamhet kan rasera ett säkerhetsarbete med ett enda fotografi.

Skattemyndigheten uppgav att misstaget skulle leda till skärpta interna kontroller. De stulna värdebevisen flyttades så snart bilderna började spridas på nätet.