kebocoran data buku besar: bagaimana privasi gagal dan bagaimana MPC bisa memperbaikinya

tl;dr

pada tahun 2020, ledger, raksasa dompet perangkat keras Prancis yang dipercaya oleh jutaan orang, mengalami salah satu pelanggaran privasi paling terkenal dalam kripto.
tidak seperti sebagian besar peretasan, tidak ada koin yang dicuri. tetapi dampaknya sama menghancurkannya: lebih dari 272.000 nama pelanggan, nomor telepon, dan alamat rumah bocor secara online, bersama dengan lebih dari satu juta alamat email.

pelanggaran tersebut menjadi studi kasus tentang apa yang terjadi ketika privasi diperlakukan sebagai pemikiran setelahnya, dan mengapa teknologi seperti komputasi multipihak (MPC), yang kini sedang dikembangkan oleh proyek seperti @ArciumHQ, sangat diperlukan untuk mencegah bencana berikutnya.

------------------------------

bagaimana itu terjadi

juli 2020: pelanggaran pertama

kunci API yang dikonfigurasi salah dalam sistem e-commerce ledger memungkinkan seorang penyerang mengakses data pelanggan. Pada awalnya, ledger percaya hanya sekitar 9.500 pelanggan yang telah terpapar, sebagian besar nama, alamat, dan detail pesanan. Sekitar 1 juta alamat email juga telah dikompromikan.

september 2020: insiden shopify insider

beberapa bulan kemudian, Shopify mengungkapkan bahwa dua karyawan nakal telah mencuri data pelanggan dari beberapa pedagang. Ledger adalah salah satunya. insiden ini memperluas ruang lingkup: jauh lebih banyak nama, nomor telepon, dan alamat sekarang berada di tangan kriminal.

desember 2020: kebocoran menjadi publik

Pada 20 Desember 2020, para hacker membagikan database buku besar secara online. Tiba-tiba, lebih dari 272.000 catatan pelanggan yang terperinci dan 1 juta alamat email tersedia untuk diunduh oleh siapa saja.

ledger mengonfirmasi pelanggaran dalam pernyataan dari CEO-nya, tetapi pada saat itu kerusakan sudah terjadi.
ini adalah pernyataan:

------------------------------

dampak: bagaimana ini mempengaruhi privasi di dunia nyata

pelanggaran buku besar tidak langsung menguras dompet. sebaliknya, itu menjadikan pelanggan sebagai target:

- phishing: penipu mengirim email "dukungan ledger" yang meyakinkan, menipu pengguna untuk mengungkapkan frase seed. banyak yang kehilangan dana mereka dengan cara ini.

- pemerasan: korban menerima email yang mengancam kekerasan jika mereka tidak membayar, sering kali mengutip alamat rumah mereka untuk membuktikan kredibilitas.

- bahaya fisik: beberapa pengguna melaporkan orang asing muncul di rumah mereka atau mengancam perampokan. memiliki ledger berarti Anda kemungkinan memiliki crypto.

- sim swap: dengan nomor telepon yang bocor, penyerang membajak akun media sosial, bursa, atau email.

- beban psikologis: di luar pencurian, stres menjadi "doxxed", memiliki identitas yang terkait dengan kepemilikan crypto Anda, menghantui ribuan orang.

pelajaran yang jelas: pelanggaran privasi berdampak lebih besar daripada yang dipikirkan orang.

------------------------------

mengapa keamanan tradisional gagal

kebenarannya adalah bahwa keamanan internal ledger tidak "rusak." masalahnya adalah struktural:

- penyimpanan terpusat: semua data pelanggan berada di database pemasaran dan e-commerce.

- akses plaintext: bahkan jika dienkripsi saat diam, sistem mendekripsi data untuk operasi normal.

- akses yang terlalu istimewa: orang dalam atau kunci API yang dicuri dapat mengekstrak semuanya sekaligus.

singkatnya, semua kepercayaan dan semua risiko terpusat di satu tempat.

------------------------------

MPC atas privasi 1.0

komputasi multi-pihak (MPC) menawarkan pendekatan yang berbeda. alih-alih menyimpan data dalam satu basis data, data tersebut dibagi menjadi "saham" kriptografis di berbagai server.
tidak ada pihak tunggal yang melihat data lengkap.

bahkan ketika perhitungan dilakukan, itu terjadi tanpa merekonstruksi plaintext atau mendekripsi data.

peretas atau orang dalam tidak dapat mencuri apa yang tidak ada di satu tempat.

bayangkan jika ledger menggunakan MPC:

- kebocoran kunci API akan memberikan akses ke fungsi, bukan basis data mentah.

- para insider shopify tidak dapat membuang daftar lengkap nama dan alamat, karena tidak ada daftar lengkap yang ada di satu sistem.

- bahkan kampanye phishing massal akan lebih sulit, karena alamat email tidak akan disimpan dalam bentuk biasa.

------------------------------

arcium: mewujudkan MPC

sementara MPC telah ada di akademisi selama beberapa dekade, baru sekarang menjadi praktis.
arcium berada di garis depan dorongan ini, membangun jaringan komputasi rahasia terdesentralisasi yang dioptimalkan untuk MPC.

inovasi kunci termasuk:

- arcis DSL: bahasa berbasis rust untuk menulis aplikasi MPC tanpa keahlian kriptografi yang mendalam.

- Lingkungan eksekusi MPC (MXEs): node terdistribusi yang bersama-sama memproses data tanpa satu node pun melihat input mentah.

- penyelarasan insentif: kepentingan operator dalam jaringan, membuat kolusi menjadi mahal.

- skalabilitas: dengan mengakuisisi pelopor seperti "inpher", arcium mengintegrasikan terobosan kinerja, menjadikan MPC cocok untuk keuangan, AI, dan aplikasi konsumen berskala besar.

dalam praktiknya, ini berarti perusahaan seperti ledger dapat membangun pelacakan pesanan, dukungan pelanggan, dan kampanye pemasaran semua tanpa pernah mengekspos data pelanggan yang sensitif kepada orang dalam atau peretas.

------------------------------

ini melampaui ledger: mengapa Anda membutuhkan MPC

ledger tidak sendirian. Pelanggaran serupa telah terjadi pada:

- penyedia layanan kesehatan, membocorkan data pasien.

- startup keuangan, membocorkan riwayat transaksi.

- pemerintah, membocorkan catatan pemilih atau ID.

dalam setiap kasus, masalah mendasar adalah sama: penyimpanan data terpusat lemah, dan privasi runtuh ketika mereka gagal.

MPC menawarkan jalan ke depan:

- untuk crypto/web3: melindungi data pengguna sambil tetap memungkinkan layanan on-chain atau off-chain.

- untuk fintech & e-commerce: hindari menyimpan alamat atau nomor telepon pelanggan di database yang dapat diretas.

- untuk AI: melatih model pada dataset sensitif (seperti catatan medis)tanpa mengungkapkan entri individu.

------------------------------

kesimpulan:

peretasan buku besar menunjukkan bahwa pengguna kripto tidak hanya berisiko kehilangan koin; mereka berisiko kehilangan keselamatan dan ketenangan pikiran mereka.

jika MPC telah diterapkan pada tahun 2020, kebocoran Ledger mungkin tidak akan pernah terjadi.
masa depan web3 bergantung pada pelajaran ini: keamanan bukan hanya tentang melindungi koin, tetapi juga tentang melindungi orang.

@serloost
@Sobix1313
@aberamaaa
@AdamuJrda1st