⚡️ $220 миллионов за одним паролем: история программиста, который потерял доступ к 7 002 BTC
В 2011 году немецкий программист Стефан Томас, живший в Сан-Франциско, получил 7 002 биткоина за создание анимационного ролика о том, как работает Bitcoin.
Тогда это выглядело как интересный технический заказ. Сегодня это около $220 миллионов.
Томас сделал то, что сделал бы аккуратный инженер: убрал монеты на зашифрованный IronKey. Проблема была в одной детали - он забыл пароль.
IronKey устроен жестко: после 10 неправильных попыток устройство блокирует доступ к данным навсегда. Когда Стефан понял масштаб проблемы, 8 попыток уже были использованы. Оставалось 2. За этими двумя попытками лежали сотни миллионов долларов и никакого нормального пути восстановления.
В 2021 году он рассказал свою историю The New York Times. К тому моменту он уже почти перестал пытаться. Диск лежал в банковской ячейке, а сам Томас пытался просто жить дальше. Потому что каждая новая попытка могла не приблизить его к деньгам, а окончательно похоронить доступ к ним.
Безопасность без восстановления - это не безопасность, а дорогая лотерея.
Мы легко говорим про бэкапы, реплики, rollback, disaster recovery и отказоустойчивость в продакшене. Но когда речь заходит о личных ключах, паролях и seed-фразах, многие внезапно строят систему из одного носителя, одного пароля и надежды на память.
В корпоративной разработке такую архитектуру разнесли бы на ревью. В личной жизни её почему-то называют «я всё продумал».
Позже к Томасу обращались специалисты, которые утверждали, что умеют обходить ограничения старых IronKey. Но передать посторонним устройство с доступом к сотням миллионов - это уже другой риск. Иногда даже потенциальное решение выглядит как новая угроза.
Менеджер паролей, резервные копии, разнесённое хранение seed-фраз, разделение секрета, аппаратные ключи, доверенные сценарии восстановления - всё это звучит скучно ровно до момента, пока на кону не окажется ваш IronKey.
История Стефана Томаса до сих пор не имеет публично подтверждённого счастливого финала. Возможно, диск когда-нибудь вскроют. Возможно, нет.
Иногда самый дорогой баг в системе - это не уязвимость в коде, а пароль, который человек когда-то знал.
