Konstantin Shulga, administrerende direktør for Tangem – interviewserie

Konstantin Shulga er administrerende direktør for Tangem og har næsten to årtiers erfaring fra kapitalmarkeder, institutionel handel og finansielle tjenester til forbrugere. Før han tiltrådte stillingen, var han medstifter af Finery Markets, et elektronisk kommunikationsnetværk for institutionelle aktører inden for digitale aktiver, og opbyggede en europæisk detailinvesteringsmæglervirksomhed. Efter tidligere at have været medlem af Tangems bestyrelse står han nu i spidsen for virksomhedens udvikling fra hardware-wallets til en bredere finansiel platform baseret på selvforvaring.

Tangem er en schweizisk virksomhed, der udvikler hardware-wallets og software uden depotforvaltning til håndtering af digitale aktiver. Virksomhedens kort- og ring-wallets bruger NFC til at oprette forbindelse til en smartphone-app, mens det bredere økosystem omfatter en mobil-wallet og integrationer til handel, staking, decentraliserede applikationer og betalinger. I dette interview taler Shulga om hardwaresikkerhed, gendannelse, uforanderlig firmware, erfaringer fra institutionelle markeder og udviklingen af wallets til finansielle grænseflader i hverdagen.

Før du blev administrerende direktør for Tangem, var du medstifter af Finery Markets og brugte en stor del af din karriere på at opbygge infrastruktur til institutionel handel og kapitalmarkeder. Hvad førte dig oprindeligt ind i digitale aktiver, og hvordan førte den rejse dig til sidst til Tangem og forbrugersiden af krypto?

Jeg har arbejdet næsten 20 år på kapitalmarkederne med både institutionelle virksomheder og forbrugervirksomheder. Før jeg grundlagde Finery Markets, opbyggede jeg en af Europas største detailinvesteringsmæglervirksomheder. Så på mange måder er skiftet til Tangem en tilbagevenden til forbrugersiden.

Det, der tiltrak mig ved digitale aktiver, var muligheden for at opbygge finansiel infrastruktur helt fra bunden. Markedet udviklede sig hurtigt, men institutionerne manglede mange af de værktøjer, de forventede at have inden for traditionel finans. Vi grundlagde Finery Markets for at imødekomme det behov med et elektronisk kommunikationsnetværk for banker, mæglere, betalingstjenesteudbydere og market makere.

Hos Tangem er muligheden at føre den samme ambition ud til almindelige brugere. Som bestyrelsesmedlem så jeg, hvor positivt fællesskabet reagerede på produktet. Folk satte oprigtigt pris på, hvor enkelt det var, og på den kontrol, det gav dem.

Det er netop den feedbackcyklus, jeg holder af ved forbrugervirksomheder: Man bygger noget nyttigt og ser reaktionen fra hundredtusinder eller millioner af mennesker. Tangem forener kundernes begejstring med et af de største vækstpotentialer, jeg har set i min karriere. Næste skridt er at gøre et produkt, som folk allerede har tillid til, til deres primære finansielle app.

Hardware-wallets er blevet et stadig mere konkurrencepræget segment. Når alle hardware-wallets grundlæggende lover sikker selvforvaring, hvordan adskiller Tangem sig så fra konkurrenterne ud over blot at hævde, at produktet er sikkert?

Alle hardware-wallets hævder at være sikre, så selve påstanden fortæller ingenting. Jeg vurderer et sikkerhedsprodukt på samme måde, som jeg vurderer en handelsplatform: ud fra dens historik, uafhængige sikkerhedsrevisioner og adfærd under pres.

Hvad angår historikken, er der mere end 6 millioner Tangem-wallets i brug, og siden lanceringen i 2017 er ingen midler gået tabt som følge af et sikkerhedsbrud. Hvad angår verificering, har Kudelski Security og Riscure revideret vores firmware, Cure53 har revideret vores mobile SDK’er, og vores chip har EAL6+-certificering efter Common Criteria.

De fleste kryptotab skyldes mennesker: mistede seed phrases, phishing og mislykkede sikkerhedskopier. Tangem fjerner disse fejlkilder gennem sit design.

Selve hardware-walleten er enkel og diskret. En sort ring på fingeren eller et anonymt kort i lommen – ingen kabler, batterier eller indbyggede komponenter. Her er enkelheden selve sikkerhedsfunktionen.

Den anden forskel handler om, hvad der sker, når du først har sikret dine aktiver. I én app kan Tangem-brugere handle, opnå afkast, få adgang til DeFi og betale med et Visa-kort uden depotforvaltning.

Der er flere aktører inden for hardware-wallets, men når det gælder brugervenlighed til daglig økonomi, kommer ingen i nærheden af Tange. Tangem-hardware-walleten er én del af en finansiel platform bygget på selvforvaring. Markedet ser hardware-wallets som pengeskabe, mens vi ser pengeskabet som blot et fundament.

Tangem placerer det sikre element i et kort eller en ring og bruger en smartphone som den primære grænseflade i stedet for en skærm og knapper. Hvilke afvejninger lå bag dette design, og hvordan forholder I jer til brugere, der mener, at en dedikeret skærm giver et ekstra lag sikkerhed?

Vi designede Tangem med udgangspunkt i ét spørgsmål: Hvad har den almindelige person allerede med sig og tillid til? Moderne smartphones har allerede skærme af høj kvalitet, hurtige processorer, sikre elementer, biometriske funktioner og NFC-antenner.

En ekstra skærm, et batteri og knapper i en separat enhed øger omkostningerne, antallet af fejlkilder og besværet. Batterier løber tør, kabler går i stykker, og opdateringsanmodninger bliver en angrebsvektor i sig selv.

Derfor valgte vi den mest ligetil løsning: Telefonen håndterer skærmen, mens den private nøgle bliver i et certificeret sikkert element, som ingen telefon, app eller server nogensinde får adgang til.

Jeg forstår argumentet om skærmen, men markedet overvurderer dens betydning. En dedikeret skærm beskytter kun brugeren, når vedkommende læser og kontrollerer en lang adresse på et lille display, og de fleste brugere bekræfter alligevel det, de ser, uden at kontrollere det.

Angriberne ved det, og derfor rammer blind signering og drainer-kontrakter hardwarepunge med skærm hver måned. En skærm er kun så god som det menneske, der læser den.

Vores løsning er at gøre transaktionen læsbar dér, hvor brugeren rent faktisk kigger. Vi investerer massivt i app-laget. Tangem-appen betragter telefonen som et fjendtligt område og bruger integritetskontrol under kørsel, beskyttelse mod fejlsøgning og emulering, registrering af root-adgang og jailbreak, krypteret lagring samt certifikatvalidering. Derudover blokerer beskyttelse mod tapjacking usynlige overlejringer, og sikker håndtering af input registrerer uautoriserede tastaturer.

Rent fysisk har kortet eller ringen intet batteri og ingen permanent forbindelse. Den får kun strøm fra telefonens NFC-felt, når en transaktion signeres.

Tangem understreger, at private nøgler genereres og forbliver i et EAL6+-certificeret sikkert element, og at firmwaren er blevet underkastet uafhængige revisioner. Hvilke angrebsvektorer bekymrer dig mest i dag, og hvordan beskytter sikkerhedsmodellen brugerne mod trusler, der spænder fra fysisk kompromittering af enheden til ondsindede apps og angreb på forsyningskæden?

De angreb, der bekymrer mig mest, er dem, der kan skaleres. Phishing, ondsindede godkendelser af tokens, adresseforfalskning og falske apps i appbutikker stjæler hvert år langt mere krypto end hardwareangreb nogensinde har gjort.

Vores sikkerhedsmodel tager udgangspunkt i den virkelighed og består af tre lag.

Det første lag er chippen. En certificeret hardwareenhed genererer den private nøgle i et certificeret sikkert element, og nøglen forlader aldrig chippen.

Det andet lag er enhedens livscyklus. Nøgler oprettes først, når brugeren opretter sin pung, så der findes ingen nøgle fra fabrikken, under forsendelsen eller på vores servere. Appen kontrollerer, at hvert kort eller hver ring er ægte, inden opsætningen begynder.

Det tredje lag er softwaren. Telefonen opbevarer aldrig nøglen, så en kompromitteret telefon eller en ondsindet app kan ikke trække den ud.

Sikkerheden i forsyningskæden følger samme logik. En enhed, der leveres uden nøgle, seed phrase eller firmware, der kan opdateres, giver ikke en angriber noget at forhåndsinstallere, udskifte eller senere skubbe ind.

Stærkere sikkerhed kan ofte gå ud over brugervenlighed og mulighederne for at gendanne adgangen. Tangem giver brugerne mulighed for at oprette sikkerhedskopier på flere enheder og tilbyder også valgfri understøttelse af seed phrases. Hvordan finder I den rette balance mellem at mindske antallet af enkeltstående fejlpunkter og gøre gendannelse forståelig for almindelige brugere?

En seed phrase på papir fungerer godt i teorien, men dårligt i praksis, fordi folk mister den, fotograferer den eller skriver den ind på phishingwebsteder.

Tangem løser dette med redundans via hardware. Et Tangem-sæt indeholder to eller tre enheder, der deler den samme pung, så brugeren kan have den ene derhjemme og tage den anden med sig.

Brugere, der ønsker en seed phrase, kan vælge at få en ved opsætningen. Erfarne indehavere, som bruger flere punge eller ønsker en offlinekopi, vælger den, mens almindelige brugere fravælger den.

Den rette balance afhænger af, at gendannelsesmodellen passer til brugeren. Vi har valgt en standardindstilling, der beskytter begyndere, samtidig med at avancerede brugere får fuld kontrol over alternativet.

Tangems hardwarefirmware kan ikke opdateres. Det mindsker risikoen for ondsindede firmwareopdateringer, men betyder også, at funktionaliteten ikke bare kan rettes med en programrettelse. Hvorfor traf Tangem dette arkitekturvalg, og hvordan vil I håndtere nyopdagede sårbarheder eller ændrede kryptografiske krav i løbet af en enheds levetid?

Med uforanderlig firmware kan ingen sende ondsindet kode til et Tangem-kort: hverken en angriber, en illoyal insider eller en tredjepart. Den kode, brugeren modtager, er den kode, som uafhængige revisorer har gennemgået.

Langsigtede risici håndteres på tre niveauer. På softwareniveau udvikler appen sig løbende, så vi kan tilføje netværk, tokens, funktioner og beskyttende kontroller uden at røre hardwarens firmware.

På hardwareniveau lancerer vi nye generationer af enheder, som hver især indeholder de nyeste chipfunktioner. Den pung, der er på markedet i dag, er anden generation af Tangem Wallet.

På forskningsniveau driver vi et bug bounty-program og bestiller uafhængige revisioner. Udviklingen inden for kryptografi, herunder det langsigtede spørgsmål om kvantecomputere, passer godt til styrken ved vores hardwarecyklus. Vores enhedsgenerationer afløser hinanden langt hurtigere end nogen troværdig tidsplan for en kvantecomputer, der kan true kryptografien.

Tangem har udvidet sit sortiment ud over hardwareprodukter med en mobilpung, som for nylig gennemgik en uafhængig sikkerhedsrevision udført af Cure53. Hvordan ser du henholdsvis mobilpunge og dedikerede hardwarepunge, og hvilke typer brugere eller størrelser på beholdninger bør afgøre, hvornår man skifter fra den ene sikkerhedsmodel til den anden?

Treasuryteams løser dette problem hver dag. De holder driftslikviditeten tæt på og hurtigt tilgængelig, mens reserverne opbevares i pengeskabet.

En Tangem Mobile Wallet kan fungere som en driftskonto. Den er stadig fuldt selvforvaltet og har 3 muligheder for sikkerhedskopiering: en gendannelsesfrase, sikkerhedskopiering i skyen og en Tangem-hardwarewallet. Brugerne kan begynde med mobilwallet’en, og når saldoen vokser, kan de opgradere sikkerheden med et kort eller en ring og flytte opsparingen til kold opbevaring – uden at skulle lære et nyt produkt at kende eller forlade økosystemet.

Min tommelfingerregel handler mere om følelser end om tal. Hvis det ville ødelægge din måned at miste saldoen i din mobilwallet, bør pengene opbevares på hardware.

Din baggrund spænder over institutionel elektronisk handel, infrastruktur til kryptomarkeder og nu selvforvaltning for forbrugere. Hvilke erfaringer fra de traditionelle finansmarkeder skal stadig indarbejdes i infrastrukturen for digitale aktiver, før krypto kan understøtte en markant bredere udbredelse blandt institutioner og almindelige brugere?

De traditionelle markeder lærte deres lektier gennem kriser, og krypto er ved at gennemgå det samme pensum. Tre lektier er vigtigst.

For det første skal funktionerne adskilles. I traditionel finans varetages handelsudførelse, clearing, afvikling og opbevaring af forskellige regulerede enheder, og FTX viste præcis, hvad der sker, når én virksomhed håndterer det hele med kundernes penge.

For det andet skal modpartsrisikoen prissættes. Institutioner har brug for handel med kreditvurderede modparter, uafhængig afvikling og klare regler for, hvem der opbevarer hvad. Detailkunder har brug for den samme klarhed, formidlet i et sprog, de forstår.

For det tredje skal sikkerheden kunne verificeres. SOC 2, Common Criteria og uafhængige revisioner findes, fordi tillid skal dokumenteres, og alle seriøse kryptovirksomheder bør offentliggøre dokumentationen.

Markedsstrukturen er det sidste udestående problem. Krypto er den mest fragmenterede aktivklasse i historien og er fordelt på hundredvis af handelspladser. Aktiemarkederne gennemgik den samme konsolidering i 1990’erne, da elektronisk handel forbandt dem.

Udbredelsen blandt almindelige brugere kommer, når folk kan bruge krypto uden at blive eksperter, og når den underliggende infrastruktur er kedelig, pålidelig og verificerbar. Det er den standard, jeg tager med fra kapitalmarkederne til Tangem.

Efterhånden som wallets udvikler sig til brugerflader for ombytning, staking, betalinger, decentraliserede applikationer og potentielt tokeniserede aktiver fra den virkelige verden, hvor går grænsen så mellem at tilbyde nyttige finansielle funktioner og at indføre yderligere sikkerheds- eller modpartsrisici i et produkt til selvforvaltning?

Grænsen er enkel: Nøglen forlader aldrig brugeren. Alle funktioner, vi tilføjer, skal bestå den prøve, og alt, der kræver, at vi opbevarer kundernes midler, består den ikke.

Inden for den grænse får brugerne adgang til en lang række funktioner. De ombytter aktiver via tredjepartslikviditet, staker onchain, opretter forbindelse til dApps og betaler med et kort – og de godkender hvert trin med deres egen nøgle.

Hver integration indebærer sine egne risici, og det er vores opgave at gøre dem synlige. Risiko ved smart contracts, protokolrisiko og modpartsrisiko hos en likviditets- eller betalingspartner er reelle risici, og brugerne fortjener at kende til dem.

Markedsinfrastrukturen lærte mig at adskille rollerne. Tangem leverer brugerfladen og sikkerhedslaget, specialiserede partnere leverer likviditet, staking og betalinger, og ingen enkelt part kontrollerer både aktiverne og udførelsen.

Tokeniserede aktiver fra den virkelige verden følger samme logik. En tokeniseret statsobligation eller aktie under selvforvaltning giver ejeren kontrol over et aktiv, hvis værdi følger det underliggende aktiv. Det er en strukturel forbedring i forhold til at eje et krav gennem en kæde af mellemmænd.

Når det gøres rigtigt, mindsker flere funktioner den samlede risiko. Brugere, der klarer alt fra deres egne wallets, holder op med at lade midler stå på centraliserede platforme, hvor de største kryptotab opstår.

Hvis vi ser flere år frem, forventer du så, at begrebet en selvstændig »kryptopung« fortsat vil være særskilt, eller vil wallets i stigende grad blive et bredere lag for finansiel identitet og forvaltning af aktiver, der omfatter kryptovalutaer, stablecoins, tokeniserede værdipapirer, betalinger og andre former for digitalt ejerskab?

Den selvstændige kryptopung er et overgangsprodukt. Om fem år holder folk op med at sige »kryptopung«, ligesom de holdt op med at sige »internetbank«.

En wallet er stedet, hvor du opbevarer, tjener, bruger og samler på aktiver og har ejerskab over dem. Det er den retning, vi arbejder hen imod hos Tangem: en finansiel platform med krypto i centrum, bygget op omkring selvforvaltning.

Tak for et godt interview. Læsere, der gerne vil vide mere om hardwarewallets, selvforvaltning og den daglige forvaltning af digitale aktiver, kan besøge Tangem.