Как защитить крипту?

В России принят закон «О цифровых валютах и цифровых правах». Ключевую роль в обороте криптоактивов будут играть цифровые депозитарии, одним из которых станет специализированный депозитарий ИНФИНИТУМ. Заместитель генерального директора по продуктам Павел Деньгин и начальник управления развития цифровых активов Виктор Бурчик рассуждали, может ли страховая защита быть полезна криптобизнесу в России.

ССТ: Какие риски вы видите для вашей компании в контексте создающегося сейчас крипторынка?

Павел Деньгин: Прежде всего, необходимая оговор­ка — я разделяю понятия страхования ответствен­ности бизнеса и страхования киберрисков этого бизнеса как таковых. Чтобы ответить на ваш вопрос, нужно понимать причину возможного ущерба, в том числе анализируя договорные обязательства депози­тария перед клиентами.

В коммерческих отношениях глав­ное — формулировки договоров, которые определяют, нужно ли ком­пенсировать клиентам нанесенный кибератакой ущерб, и в каком размере. Нет ответственности — нечего страхо­вать. Запрос на страхование, вероятно, возникает только тогда, когда ответ­ственность четко прописана.

ССТ: А у вас как цифрового депозита­рия возникает ответственность?

П. Д.: На классическом фондовом рынке риск того, что активы клиентов, хранящиеся в депозита­риях, кто-то выведет без ведома владельца, мини­мален: все процессы так настроены, что это не­возможно. Прецедентов не было, да и желающих из пиратского сообще­ства напасть на эти акти­вы тоже не наблюдается.

Спрос на страхование возникнет тогда, когда будут установлены ми­нимальные границы от­ветственности по закону, когда у участников будет договорная конструкция, когда какие-то игроки захотят в маркетинговых целях брать на себя боль­шую ответственность за сохранность активов.

Но мы вступаем в мир криптоактивов, где, как мы видим по опыту тех стран, в которых крипта давно легали­зована, риски кратно выше. И спрос на страхование возникнет тогда, когда будут установлены минимальные границы ответственности по закону, когда у участников будет договорная конструкция, когда какие-то игроки захотят в маркетинговых целях брать на себя большую ответственность за сохранность активов.

ССТ: Но готов ли страховой рынок к подобным запросам?

П. Д.: ИНФИНИТУМ начал готовить­ся к работе с криптоактивами задолго до того, как был принят закон. И пока наши эксперты участвовали во мно­жестве рабочих групп, где прораба­тывались параметры будущего регу­лирования, мы параллельно провели небольшое исследование, пообщав­шись с несколькими страховщиками.

В недавно принятом законе есть цифровые права и цифровые валюты — это не одно и то же

К нашему разочарованию, страхо­вое сообщество, по крайней мере, по состоянию на начало лета, о работе в огромном мире криптовалют еще не думало. Все продукты, которые нам предлагались, в основном, покрывали риски критической инфраструктуры в части железа и серверов. Что касает­ся непосредственно оборота крипты, то мы нашли подтверждение озвучен­ного выше тезиса: сначала пусть вый­дет закон, возникнет ответственность по закону и по договору — тогда будем думать о продуктах. В общем, доволь­но логично.

ССТ: Какие риски в работе с криптой самые высокие в принципе?

Виктор Бурчик: Взлом кошельков с применением различных методов — от социальной инженерии до подмен интерфейсов клиентских приложений с целью хищения криптовалют — вот, мне кажется, самый главный риск. Все остальное давно более-менее усто­ялось: риски непрерывности, кража персональных данных и пр.

Но хочу уточнить: в недавно при­нятом законе есть цифровые права и цифровые валюты — это не одно и то же. Цифровые депозитарии, кото­рые хранят цифровые права в пользу своих клиентов через конструкцию номинальных держателей, страховать от утраты особо не нужно.

Могу ошибаться, но есть «золотая запись», и в крайнем случае можно перевыпустить эти токены или иным образом восстановить учет и баланс. Они взаимозаменяемые, в отличие, например, от большинства криптова­лют. Так что утрата, скажем, одного биткоина и утрата ЦФА — это две кардинально разные вещи.

ССТ: Получается, в случае с цифровым правом — перевыпусти новое, зачисли на кошелек, и ничего страшного?

В. Б.: Клиент этого даже может не за­метить. Цифровое право, если оно вы­пущено в закрытой сети, невозможно вывести за контур оператора информа­ционной системы и, например, обнали­чить. В отличие от биткоина, который можно просто вывести на другой коше­лек. Поэтому, по большому счету, у нас нет запроса на страхование именно деятельности по учету цифровых прав.

История с криптовалютами, оборот которых тоже теперь будет регулиро­ваться в России, — гораздо более слож­ная. Утеря одной единицы крипты — это утеря денег.

Цифровой депозитарий, по идее, берет на себя ответственность по хра­нению клиентских активов.

ССТ: Что же может произойти с этими активами — как действуют мошенни­ки? О каком потенциальном рынке мы в принципе сейчас можем говорить?

В. Б.: Способы взлома эволюцио­нируют. Если раньше мошенники воровали ключи или подбирали пароли, то сейчас хакеры компроме­тируют связанную инфраструктуру и доверенную схему подписания через подмену интерфейсов. То есть подписанту транзакции могут под­менить интерфейс, в результате чего он подписывает транзакцию, как ему кажется, с корректными реквизита­ми, а на деле это оказывается мошен­нической операцией.

Так как на сегодня отсутствует офи­циальная открытая аналитика, то ры­нок профессионального хранения пока не поддается оценке. Предположим, в обозримом будущем на хранении в топ-5 цифровых депозитариев будет находиться криптовалют суммарно на 100 млрд руб., а лимит по страхо­ванию ответственности, насколько я знаю, сейчас 1–2 млрд руб.

ССТ: Возникнет ли спрос на страхова­ние при этих условиях?

П. Д.: Мне кажется, что в конечном счете сложится ситуация как в бан­ковской отрасли. Банки научились достаточно хорошо защищать день­ги, хранящиеся на счетах клиентов, не допуская до них хакеров. И при этом банки не страхуются, хотя у них есть ответственность перед клиентами за эти деньги.

Правда, банки страхуют деньги в ячейках — это отдельный вид стра­хования банковской ответственности. Потому что это физическая, матери­альная ценность, до которой понятно, как добраться. Но большинство случа­ев, когда люди теряют деньги в банках, связаны с различными способами компрометации карты, счета, кабинета со стороны клиента. Банки не несут за это ответственность.

ССТ: Так почему бы цифровым депози­тариям не застраховать свою ответ­ственность за утрату криптоактивов в результате хакерского взлома?

П. Д.: Встречный вопрос: а будет ли выработан на рынке продукт, ре­ально защищающий средства кли­ентов от мошеннических действий? В банковской отрасли, на мой взгляд, аналогичные продукты получились не особо выплатными. Достаточно почитать условия страхования бан­ковских карт от различных рисков, становится понятно: чаще всего клиент сам виноват, а значит, ничего не получает.

Думаю, у нас развилка: либо стра­ховщики предлагают прозрачный, комфортный и, главное, выплатной продукт, либо цифровые депозита­рии в итоге будут заниматься «само­страхованием». То есть направлять инвестиции на развитие своих систем информационной безопасности, вкладывать именно в развитие своих технологий, своей защиты от всевоз­можных киберрисков.

ССТ: Ряд страховщиков предлагает сегодня продукты, в которые включен даже мониторинг инфраструктуры клиента, обеспечивающий защиту от ки­беругроз. Это не более эффективно, чем строить свою систему?

П. Д.: Думаю, тут все дело в масштабе. Современная инфраструктурная фи­нансовая организация, подобная нашей, тратит колоссальные средства на свои ИТ и инфобез.

Чтобы страховщики сделали эффективное решение, которое по­зволило бы им при­нять наши риски, им надо изначально очень много денег вложить в выстраивание про­граммного обеспечения, в том числе с установкой на стороне клиента. Это серьезный ИТ-бизнес. Мне кажется, страховщики к таким инвестициям объективно не готовы — они не окупятся никакими премиями.

Цифровое право, если оно выпущено в закры­той сети, невозможно вывести за контур опе­ратора информационной системы и, например, обналичить. В отличие от биткоина, который можно просто вывести на другой кошелек.

В. Б.: Ну, и давайте посмотрим на ми­ровой опыт: год назад, когда хакеры вывели с биржи Bybit ETH и иных криптоактивов на сумму в эквиваленте 1,5 млрд долларов, криптобиржа само­стоятельно возместила убытки перед клиентами. Ничего не было сказано о том, что есть какая-то страховая ком­пания, которая покроет эти убытки. Сколько средств уже было похищено хакерами с криптобирж — и я не при­поминаю, чтобы какой-либо страхов­щик выплатил компенсацию после хищения.