گوگل از سیستم امنیتی نگهداری کلید خصوصی MPC رونمایی کرد؛ آلفابت از اتریوم و سولانا محافظت می‌کند

گوگل رونمایی از سیستم امنیتی نگهداری دارایی‌های دیجیتال در سطح سازمانی

نیویورک – گوگل در کنفرانس دارایی‌های دیجیتال در نیویورک، از سیستم امنیتی نگهداری دارایی‌های رمزنگاری شده در سطح سازمانی خود با نام «Google Multi-Party Compute» (محاسبات چندجانبه) رونمایی کرد. این سیستم که در حال حاضر در مرحله پیش‌نمایش خصوصی قرار دارد، قرار است اوایل سال ۲۰۲۷ به صورت تجاری عرضه شود. شرکت مادر گوگل، Alphabet، از این سیستم برای محافظت از دارایی‌های خود در شبکه‌های اتریوم و سولانا استفاده کرده است. این سیستم با توزیع قطعات کلید خصوصی در محیط‌های مختلف و اعمال قوانین سازمانی پیش از امضای تراکنش، به دنبال مقابله با نشت اطلاعات احراز هویت و انتقال‌های غیرمجاز است.

جزئیات سیستم محاسبات چندجانبه گوگل

در تاریخ ۲۸ اکتبر به وقت نیویورک، گوگل کلود در اولین کنفرانس دارایی‌های دیجیتال خود، از سرویس جدیدی رونمایی کرد: «Google Multi-Party Compute» (که به اختصار MPC نامیده می‌شود)؛ سیستمی که برای بانک‌ها و موسسات مالی طراحی شده تا از دارایی‌های رمزنگاری شده و توکن‌شده محافظت کرده و آن‌ها را منتقل کنند. طبق گزارش CoinDesk، این محصول هنوز در مرحله پیش‌نمایش خصوصی است و به طور کامل عرضه نشده است. در حال حاضر، چندین شریک طراحی و موسسات مالی بزرگ در حال آزمایش آن هستند و شرکت مادر، Alphabet، از آن برای محافظت از دارایی‌های خود در بلاک‌چین‌های اتریوم و سولانا استفاده می‌کند. زمان عرضه تجاری اوایل سال ۲۰۲۷ پیش‌بینی شده و قیمت آن هنوز اعلام نشده است.

مشکل اصلی موسسات مالی در حوزه دارایی‌های دیجیتال، نه «قابلیت ورود به بلاک‌چین»، بلکه ریسک از دست رفتن کلید خصوصی است که در صورت وقوع، بازگرداندن تراکنش‌های انجام شده در بلاک‌چین تقریباً غیرممکن است. گوگل در این سیستم، به جای ارائه یک کیف پول سرد دیگر، قابلیت امضای تراکنش را به بخش‌های مختلف تقسیم کرده و قوانین را پیش از امضا اعمال می‌کند. در ادامه به بررسی عملکرد این مکانیزم و آنچه هنوز مشخص نشده است، می‌پردازیم.

بانک‌ها و شرکت‌های مالی در حال بررسی استفاده از بلاک‌چین برای انتشار دارایی‌های توکن‌شده، پردازش پرداخت‌ها و همچنین مدیریت نگهداری دارایی‌های دیجیتال خود هستند. از آنجایی که تراکنش‌های تایید شده در بلاک‌چین معمولاً قابل بازگشت نیستند، «کنترل دسترسی به امضا» به یک عامل کلیدی در مدیریت ریسک تبدیل شده است.

مهاجمان با دسترسی به کلید خصوصی کیف پول، می‌توانند دارایی‌ها را بدون رضایت مالک منتقل کنند. طبق گزارش شرکت تحلیل بلاک‌چین Chainalysis، حدود ۴۳.۸ درصد از دارایی‌های رمزنگاری شده سرقت شده در سال ۲۰۲۴ با از دست رفتن کلید خصوصی مرتبط بوده‌اند. همچنین، بر اساس داده‌های DeFiLlama، تا ژوئن ۲۰۲۶، پروژه‌های بلاک‌چین در مجموع حدود ۱۶.۶۹ میلیارد دلار به دلیل هک و آسیب‌پذیری ضرر کرده‌اند که حدود ۴۰ درصد از این مبلغ به دلیل سرقت کلید خصوصی بوده است. به عبارت دیگر، موسسات برای ورود به این حوزه، ابتدا باید مشکل «مدیریت یک کلید برای همه چیز» را حل کنند.

مفهوم محاسبات چندجانبه (MPC) جدید نیست: یک کلید خصوصی کامل به چندین قطعه تقسیم شده و در سیستم‌های مختلف توزیع می‌شود. برای تکمیل امضا، نیاز به مشارکت چندین قطعه است و کلید خصوصی کامل هرگز به صورت متمرکز ذخیره نمی‌شود. گوگل در سال ۲۰۲۳ در وبلاگ رسمی خود توضیح داده بود که مشتریان می‌توانند با استفاده از Confidential Space، ساختار MPC را پیاده‌سازی کنند.

تفاوت این بار در این است که گوگل اعلام کرده است که قبلاً محصول MPC اختصاصی برای نگهداری دارایی‌های رمزنگاری شده عرضه نکرده بود. سرویس‌های موجود Cloud KMS و Cloud HSM بیشتر بر مدیریت کلید تمرکز داشتند، در حالی که سرویس جدید، امضای MPC، سیاست‌های تراکنش و بازیابی کلید را به صورت یک محصول آماده برای دارایی‌های دیجیتال ارائه می‌دهد و موسسات نیازی به مونتاژ دستی آن ندارند.

به عنوان مثال، یک بانک می‌تواند یک قطعه کلید را در Google Cloud، قطعه‌ای دیگر را بر روی سخت‌افزار اختصاصی خود و قطعه سوم را در یک ابر دیگر قرار دهد. پس از ورود تراکنش به Confidential Space، موتور سیاست‌گذاری ابتدا قوانینی مانند سقف انتقال، لیست سفید آدرس‌های گیرنده و تاییدیه چندبخشی را بررسی می‌کند و سپس امضا آغاز می‌شود. آستانه‌های امنیتی را می‌توان به صورت «دو از سه» یا «پنج از هفت» تنظیم کرد.

گوگل تاکید می‌کند که مشتریان همچنان کنترل مواد کلید را در دست دارند و حتی اگر قطعات در زیرساخت گوگل قرار گیرند، این شرکت قادر به خواندن آن‌ها به صورت متن ساده نخواهد بود. طبق گزارش Cointelegraph، اسناد مربوطه پیش از کنفرانس به‌روزرسانی شده و محصول پیش‌نمایش به سناریوی نگهداری بیت‌کوین در سطح سازمانی اختصاص یافته است.

گوگل این محصول را در چارچوب «حملات هوشمندتر» قرار می‌دهد: هوش مصنوعی مقیاس کلاهبرداری‌ها را افزایش داده و محاسبات کوانتومی نیز یک ریسک بلندمدت برای رمزنگاری محسوب می‌شود. Chainalysis اشاره می‌کند که کلاهبرداری‌های رمزنگاری شده مرتبط با ابزارهای هوش مصنوعی در سال ۲۰۲۵ به طور متوسط حدود ۳.۲ میلیون دلار در هر مورد بوده است که حدود ۴.۵ برابر موارد غیرمرتبط (۷۱۵ هزار دلار) است. این یک مشاهده همبستگی است و ثابت نمی‌کند که هوش مصنوعی مستقیماً باعث افزایش مبالغ شده است.

جاستین دریک، پژوهشگر اتریوم، هشدار داده است که هوش مصنوعی ممکن است میان‌برهایی برای شکستن امضاهای دیجیتال کیف پول پیدا کند و در بدترین سناریو، حتی زودتر از کامپیوترهای کوانتومی قدرتمند ظاهر شود. با این حال، تاکنون هیچ سیستم هوش مصنوعی نتوانسته است امضای کیف پول بیت‌کوین یا اتریوم را بشکند.

حفاظت MPC فعلی گوگل، عمدتاً بر نشت اطلاعات احراز هویت و تراکنش‌های غیرمجاز تمرکز دارد، نه بر فرض اینکه رمزنگاری پایه شکسته شده است. این معماری ادعا می‌کند که قابلیت ارتقا به رمزنگاری پساکوانتومی را دارد و در زمان عرضه تجاری، از ECDSA و Ed25519 پشتیبانی خواهد کرد. جدول زمانی دقیقی برای راه‌اندازی امضاهای پساکوانتومی ارائه نشده است، اما گفته شده است که با پذیرش بلاک‌چین‌های عمومی، قابلیت ارتقا وجود خواهد داشت و نیازی به بازسازی کل سیستم نیست.

در مورد محدودیت‌ها: موتور سیاست‌گذاری می‌تواند تراکنش‌های «بیش از حد مجاز، آدرس‌های نامعتبر و عدم تاییدیه» را مسدود کند، اما در مواردی که کاربر قانونی فریب خورده و تایید می‌کند، یا قوانین خود توسط افراد داخلی تغییر داده شوند، این موارد هنوز در دامنه تضمین‌های عمومی این محصول قرار ندارند.

در بازار، تامین‌کنندگان متخصص در امنیت و نگهداری دارایی‌های رمزنگاری شده مانند Fireblocks، Fordefi و BitGo حضور دارند. نقطه ورود گوگل، روابط موجود بانک‌ها با ابر گوگل و برند امنیتی آن است و خود را به عنوان «زیرساخت بی‌طرف» معرفی می‌کند؛ به این معنی که موسسات می‌توانند کسب و کار نگهداری خود را اداره کنند، نه اینکه با مشتریان برای جذب کاربران نهایی رقابت کنند.

ریچ ویدمن، مدیر استراتژی دارایی‌های دیجیتال در گوگل کلود، به CoinDesk گفت که دارایی‌های دیجیتال و توکن‌سازی در نقطه عطفی قرار دارند و موسسات مالی تحت نظارت به زیرساخت‌های مقیاس‌پذیر و اثبات شده برای محافظت از دارایی‌های مشتریان خود نیاز دارند.

در گام بعدی، می‌توان سه نکته را دنبال کرد: آیا عرضه تجاری در اوایل سال ۲۰۲۷ طبق برنامه انجام خواهد شد؟ اولین بانک‌ها یا مشتریان نگهداری نام‌گذاری شده چه کسانی خواهند بود؟ و موسسات حاضرند چه میزان از امضاهای کلیدی و موتور سیاست‌گذاری خود را به مسیر ابری گوگل بسپارند؟