Konstantin Shulga, Tangemin toimitusjohtaja – haastattelusarja

Konstantin Shulga on Tangemin toimitusjohtaja, ja hänellä on lähes kahden vuosikymmenen kokemus pääomamarkkinoilta, institutionaalisesta kaupankäynnistä ja kuluttajille suunnatuista rahoituspalveluista. Ennen tehtävään siirtymistään hän oli perustamassa Finery Marketsia, institutionaalisia digitaalisten varojen markkinaosapuolia palvelevaa sähköistä kaupankäyntiverkostoa, ja rakensi Eurooppaan vähittäissijoittajille suunnatun välitysliiketoiminnan. Aiemmin Tangemin hallituksessa toiminut Shulga johtaa nyt yhtiön laajentumista laitelompakoista kohti laajempaa omasäilytykseen perustuvaa rahoitusalustaa.

Tangem on Sveitsissä toimiva yritys, joka kehittää laitelompakoita ja digitaalisten varojen hallintaan tarkoitettuja säilytyspalveluttomia ohjelmistoja. Sen kortti- ja sormuslompakot yhdistyvät NFC:n avulla älypuhelinsovellukseen, ja laajempaan ekosysteemiin kuuluvat myös mobiililompakko sekä integraatiot kaupankäyntiin, steikkaukseen, hajautettuihin sovelluksiin ja maksamiseen. Tässä haastattelussa Shulga kertoo laiteturvallisuudesta, palautuksesta, muuttumattomasta laiteohjelmistosta, institutionaalisilta markkinoilta saaduista opeista sekä siitä, kuinka lompakoista kehittyy jokapäiväisen talouden käyttöliittymiä.

Ennen kuin siirryit Tangemin toimitusjohtajaksi, olit perustamassa Finery Marketsia ja rakensit suuren osan urastasi institutionaalisen kaupankäynnin ja pääomamarkkinoiden infrastruktuuria. Mikä alun perin toi sinut digitaalisten varojen pariin, ja miten tämä matka lopulta johti Tangemille ja kryptomaailman kuluttajapuolelle?

Olen työskennellyt pääomamarkkinoilla lähes 20 vuotta sekä institutionaalisten että kuluttajaliiketoimintojen parissa. Ennen Finery Marketsin perustamista rakensin yhden Euroopan suurimmista vähittäissijoittajille suunnatuista sijoitusvälitysliiketoiminnoista. Siirtyminen Tangemille on siis monella tapaa paluu kuluttajapuolelle.

Digitaalisissa varoissa minua houkutteli mahdollisuus rakentaa rahoitusinfrastruktuuria alusta asti. Markkinat kehittyivät nopeasti, mutta instituutioilta puuttui monia työkaluja, joita ne odottivat perinteiseltä rahoitusalalta. Perustimme Finery Marketsin vastaamaan tähän tarpeeseen sähköisellä kaupankäyntiverkostolla, joka palvelee pankkeja, välittäjiä, maksupalveluntarjoajia ja markkinatakaajia.

Tangemin kohdalla mahdollisuutena on tuoda sama kunnianhimo tavallisten käyttäjien ulottuville. Hallituksen jäsenenä näin, kuinka vahvasti yhteisö otti tuotteen vastaan. Ihmiset arvostivat aidosti sen yksinkertaisuutta ja sen tarjoamaa hallintaa.

Juuri tällaisesta palautekierteestä pidän kuluttajaliiketoiminnassa: rakennat jotain hyödyllistä ja näet, miten sadattuhannet tai miljoonat ihmiset ottavat sen vastaan. Tangemissa yhdistyvät asiakkaiden innostus ja urani suurimpiin kuuluva kasvupotentiaali. Seuraavaksi tavoitteena on tehdä jo valmiiksi luotetusta tuotteesta käyttäjien ensisijainen taloussovellus.

Laitelompakoista on tullut yhä kilpaillumpi tuoteryhmä. Kun jokaisen laitelompakon peruslupaus on käytännössä turvallinen omasäilytys, miten Tangem erottuu muista muutenkin kuin vain väittämällä olevansa turvallinen?

Jokainen laitelompakko väittää olevansa turvallinen, joten väitteellä itsellään ei ole informaatioarvoa. Arvioin turvallisuustuotetta samalla tavalla kuin kaupankäyntipaikkaa: sen historian, riippumattomien auditointien ja paineen alla toimimisen perusteella.

Tangemin laitelompakoita on käytössä yli 6 miljoonaa, eikä tietomurron seurauksena ole menetetty yhtään varoja sen jälkeen, kun tuote lanseerattiin vuonna 2017. Riippumattoman varmennuksen osalta Kudelski Security ja Riscure auditoivat laiteohjelmistomme, Cure53 auditoi mobiili-SDK:mme, ja sirullamme on EAL6+ Common Criteria -sertifiointi.

Useimmat kryptovaroihin liittyvät menetykset johtuvat ihmisistä: palautuslausekkeiden katoamisesta, tietojenkalastelusta ja varmuuskopioinnin epäonnistumisesta. Tangem poistaa nämä riskikohdat jo suunnitteluvaiheessa.

Itse laitelompakko on yksinkertainen ja huomaamaton. Musta sormus sormessa tai huomaamaton kortti taskussa – ei kaapeleita, paristoja eikä sisäänrakennettuja komponentteja. Tässä tapauksessa yksinkertaisuus on turvallisuusominaisuus.

Toinen erottava tekijä on se, mitä tapahtuu sen jälkeen, kun olet turvannut varasi. Tangemin käyttäjät voivat yhdessä sovelluksessa käydä kauppaa, ansaita tuottoa, käyttää DeFi-palveluita ja maksaa omasäilytykseen perustuvalla Visa-kortilla.

Laitelompakoiden markkinoilla on useita toimijoita, mutta kukaan ei pääse lähellekään Tangea päivittäisen talouskäytön helppoudessa. Tangemin laitelompakko on yksi osa omasäilytykseen perustuvaa rahoitusalustaa. Markkinoilla laitelompakot nähdään kassakaappeina, mutta meille kassakaappi on vasta perusta.

Tangem sijoittaa turvaelementin korttiin tai sormukseen ja käyttää älypuhelinta ensisijaisena käyttöliittymänä näytön ja painikkeiden sijaan. Millaisia suunnitteluratkaisuja tämän arkkitehtuurin taustalla oli, ja miten vastaatte käyttäjille, joiden mielestä erillinen näyttö tarjoaa lisäturvaa?

Suunnittelimme Tangemin yhden kysymyksen ympärille: mitä tavallisella ihmisellä on jo mukanaan ja mihin hän jo luottaa? Nykyaikaisissa älypuhelimissa on jo laadukkaat näytöt, nopeat suorittimet, turvaelementit, biometrinen tunnistus ja NFC-antennit.

Erilliseen laitteeseen lisätty toinen näyttö, akku ja painikkeet kasvattavat kustannuksia, lisäävät vikamahdollisuuksia ja hankaloittavat käyttöä. Akut tyhjenevät, kaapelit rikkoutuvat ja päivityskehotteista voi itsessään tulla hyökkäysvektori.

Siksi valitsimme yksinkertaisimman ratkaisun: puhelin huolehtii näytöstä, ja yksityinen avain pysyy sertifioidussa turvaelementissä, johon mikään puhelin, sovellus tai palvelin ei koskaan pääse käsiksi.

Ymmärrän perustelun näytön puolesta, mutta markkinoilla sen merkitystä liioitellaan. Erillinen näyttö suojaa käyttäjää vain silloin, kun hän lukee ja tarkistaa pitkän osoitteen pieneltä ruudulta. Useimmat käyttäjät kuitenkin vahvistavat näkemänsä tarkistamatta sitä.

Hyökkääjät tietävät tämän, minkä vuoksi sokea allekirjoittaminen ja lompakoita tyhjentävät sopimukset iskevät näyttöihin perustuviin laitteistolompakoihin joka kuukausi. Näytön turvallisuus riippuu siitä, kuinka hyvin ihminen lukee sitä.

Ratkaisumme on tehdä tapahtumasta ymmärrettävä siellä, mistä käyttäjä sitä todella katsoo. Panostamme voimakkaasti sovellukseen. Tangem-sovellus suhtautuu puhelimeen kuin vihamieliseen ympäristöön: se tarkistaa suorituksenaikaisen eheyden, torjuu virheenjäljityksen ja emuloinnin, tunnistaa pääkäyttäjäoikeudet ja jailbreakin, salaa tallennustilan ja tarkistaa varmenteet. Lisäksi napautusten manipuloinnin torjunta estää näkymättömät peittokerrokset, ja suojattu syötteenkäsittely tunnistaa haitalliset näppäimistöt.

Fyysisesti kortissa tai sormuksessa ei ole akkua eikä jatkuvasti päällä olevaa yhteyttä. Se saa virtansa puhelimen NFC-kentästä vain tapahtumaa allekirjoitettaessa.

Tangem korostaa, että yksityiset avaimet luodaan EAL6+-sertifioidussa suojatussa elementissä ja pysyvät siellä, ja että laiteohjelmistolle on tehty riippumattomia auditointeja. Mitkä hyökkäysvektorit huolestuttavat sinua eniten tällä hetkellä, ja miten tietoturvamalli suojaa käyttäjiä uhkilta, jotka ulottuvat laitteen fyysisestä vaarantamisesta haitallisiin sovelluksiin ja toimitusketjuhyökkäyksiin?

Eniten minua huolestuttavat hyökkäykset, jotka voidaan toteuttaa laajassa mittakaavassa. Tietojenkalastelu, haitalliset tokenien käyttöoikeudet, osoitteiden myrkyttäminen ja sovelluskauppojen väärennetyt sovellukset ovat vieneet joka vuosi huomattavasti enemmän kryptovaroja kuin laitteistohyökkäykset koskaan.

Tietoturvamallimme lähtee tästä todellisuudesta ja rakentuu kolmesta kerroksesta.

Ensimmäinen kerros on siru. Sertifioitu laitteisto luo yksityisen avaimen sertifioidussa suojatussa elementissä, eikä avain koskaan poistu sirulta.

Toinen kerros on laitteen elinkaari. Avaimet luodaan vasta, kun käyttäjä luo lompakon, joten avainta ei ole tehtaalla, kuljetuksen aikana eikä palvelimillamme. Sovellus tarkistaa ennen käyttöönottoa, että jokainen kortti tai sormus on aito.

Kolmas kerros on ohjelmisto. Puhelin ei koskaan säilytä avainta, joten vaarantuneesta puhelimesta tai haitallisesta sovelluksesta ei voi poimia sitä.

Toimitusketjun tietoturva perustuu samaan ajatukseen. Laitteessa, joka toimitetaan ilman avainta, siemenlausetta ja päivitettävää laiteohjelmistoa, ei ole mitään, mitä hyökkääjä voisi ladata siihen ennakolta, vaihtaa tai asentaa myöhemmin.

Vahvempi tietoturva voi usein heikentää käytettävyyttä ja palautettavuutta. Tangem antaa käyttäjille mahdollisuuden tehdä varmuuskopioita useille laitteille ja tarjoaa lisäksi valinnaisen tuen siemenlauseelle. Miten löydätte oikean tasapainon yksittäisten vikapisteiden vähentämisen ja sen välillä, että tavallisten käyttäjien on helppo ymmärtää, miten lompakon voi palauttaa?

Paperille kirjoitettu siemenlause vaikuttaa teoriassa toimivalta ratkaisulta mutta käytännössä toimii huonosti, koska ihmiset kadottavat sen, valokuvaavat sen tai kirjoittavat sen tietojenkalastelusivustoille.

Tangem ratkaisee tämän laitteistopohjaisella redundanssilla. Tangem-settiin kuuluu kaksi tai kolme samaa lompakkoa käyttävää laitetta, joten käyttäjä voi pitää yhtä kotona ja kuljettaa toista mukanaan.

Siemenlauseen haluavat käyttäjät voivat valita sen käyttöönoton yhteydessä. Useita lompakoita käyttävät kokeneet käyttäjät tai ne, jotka haluavat tallentaa tiedot offline-tilassa, valitsevat sen, kun taas tavalliset käyttäjät jättävät sen väliin.

Oikea tasapaino löytyy sovittamalla palautusmalli käyttäjälle sopivaksi. Oletusasetuksemme suojaa aloittelijoita, ja samalla annamme edistyneille käyttäjille täyden hallinnan vaihtoehtoiseen ratkaisuun.

Tangemin laitteiston laiteohjelmistoa ei voi päivittää. Tämä vähentää haitallisten laiteohjelmistopäivitysten mahdollisuutta, mutta samalla toimintoja ei voi korjata yksinkertaisesti päivityksellä. Miksi Tangem teki tämän arkkitehtuurivalinnan, ja miten hallitsette laitteen käyttöiän aikana havaittuja uusia haavoittuvuuksia tai muuttuvia kryptografisia vaatimuksia?

Muuttumattoman laiteohjelmiston ansiosta kukaan ei voi asentaa haitallista koodia Tangem-korttiin: ei hyökkääjä, vilpillinen työntekijä eikä ulkopuolinen taho. Käyttäjän saama koodi on sama, jonka riippumattomat auditoijat tarkastivat.

Pitkän aikavälin riskejä hallitaan kolmella tasolla. Ohjelmistotasolla sovellus kehittyy jatkuvasti, joten lisäämme verkkoja, tokeneita, toimintoja ja suojaustarkistuksia koskematta laitteiston laiteohjelmistoon.

Laitteistotasolla tuomme markkinoille uusia laitesukupolvia, joista jokainen hyödyntää sirujen uusimpia ominaisuuksia. Nykyisin markkinoilla oleva lompakko on Tangem Walletin toinen sukupolvi.

Tutkimustasolla ylläpidämme haavoittuvuuspalkkio-ohjelmaa ja tilaamme riippumattomia auditointeja. Kryptografian kehitys, mukaan lukien kvanttilaskentaan liittyvä pitkän aikavälin kysymys, sopii laitesukupolvemme vahvuuksiin. Laitteemme uusiutuvat paljon nopeammin kuin uskottavinkaan aikataulu kryptografisesti merkitykselliselle kvanttitietokoneelle.

Tangem on laajentanut tarjontaansa laitteistotuotteiden ulkopuolelle mobiililompakolla, jolle tehtiin hiljattain riippumaton Cure53-tietoturva-auditointi. Miten näet mobiililompakoiden ja erillisten laitteistolompakoiden erilaiset roolit, ja millaisten käyttäjien tai omaisuuserien määrän perusteella pitäisi ratkaista, milloin siirrytään toisesta tietoturvamallista toiseen?

Treasury-yksiköt ratkaisevat tämän ongelman joka päivä. Ne pitävät käyttövarat lähellä ja nopeasti saatavilla ja säilyttävät varannot holvissa.

Tangemin mobiililompakko voi toimia käyttötilinä. Varat pysyvät silti täysin käyttäjän omassa hallinnassa, ja varmuuskopiointiin on kolme vaihtoehtoa: palautuslause, pilvivarmuuskopio ja Tangemin laitteistolompakko. Käyttäjä voi aloittaa mobiililompakolla ja siirtää säästönsä kylmäsäilytykseen päivittämällä tietoturvan korttiin tai sormukseen, kun saldo kasvaa. Uutta tuotetta ei tarvitse opetella eikä ekosysteemistä poistua.

Nyrkkisääntöni on pikemminkin tunne- kuin numeropohjainen. Jos mobiililompakon saldon menettäminen pilaisi kuukautesi, varat kuuluvat laitteistolompakkoon.

Taustasi kattaa institutionaalisen sähköisen kaupankäynnin, kryptomarkkinoiden infrastruktuurin ja nyt kuluttajille suunnatun itsehallinnan. Mitä perinteisten rahoitusmarkkinoiden oppeja digitaalisten omaisuuserien infrastruktuuriin on vielä omaksuttava, ennen kuin krypto voi tukea huomattavasti laajempaa institutionaalista ja valtavirran käyttöönottoa?

Perinteiset markkinat ovat oppineet kriisien kautta, ja kryptomarkkinat käyvät nyt läpi samoja oppeja. Kolme niistä on erityisen tärkeää.

Ensinnäkin eri toiminnot on erotettava toisistaan. Perinteisessä rahoituksessa kaupankäynnistä, selvityksestä, maksujen toteutuksesta ja säilytyksestä vastaavat eri säännellyt toimijat. FTX osoitti täsmälleen, mitä tapahtuu, kun yksi yritys hoitaa kaiken asiakkaiden varoilla.

Toiseksi vastapuoliriski on hinnoiteltava. Instituutiot tarvitsevat luottoriskin perusteella tarkastettua kaupankäyntiä, riippumatonta selvitystä ja selkeät säännöt siitä, kuka pitää hallussaan mitäkin. Myös piensijoittajat tarvitsevat yhtä selkeää tietoa, joka on ilmaistu heille ymmärrettävällä tavalla.

Kolmanneksi tietoturvan on oltava todennettavissa. SOC 2, Common Criteria ja riippumattomat auditoinnit ovat olemassa siksi, että luottamus on osoitettava. Jokaisen vakavasti otettavan kryptoyrityksen pitäisi julkaista näyttönsä.

Markkinarakenteessa on vielä kurottavaa. Krypto on historian hajanaisin omaisuusluokka: kaupankäynti jakautuu sadoille markkinapaikoille. Osakemarkkinat kävivät läpi samanlaisen keskittymiskehityksen 1990-luvulla, kun sähköinen kaupankäynti yhdisti niitä.

Valtavirran käyttöönotto toteutuu, kun ihmiset voivat käyttää kryptoa ryhtymättä asiantuntijoiksi ja kun sen taustalla oleva infrastruktuuri on huomaamaton, luotettava ja todennettavissa. Tämän standardin tuon pääomamarkkinoilta Tangemille.

Lompakoista kehittyy käyttöliittymiä vaihtamiseen, steikkaukseen, maksamiseen, hajautettuihin sovelluksiin ja mahdollisesti myös tokenisoituihin reaalimaailman omaisuuseriin. Missä kulkee mielestäsi raja hyödyllisten rahoituspalvelujen tarjoamisen ja itsehallintaan perustuvaan tuotteeseen liittyvien lisäturvallisuus- tai vastapuoliriskien synnyttämisen välillä?

Raja on yksinkertainen: avain ei koskaan poistu käyttäjän hallusta. Jokaisen lisäämämme ominaisuuden on täytettävä tämä ehto, eikä mikään sellainen ominaisuus käy, joka edellyttää, että me pidämme asiakkaiden varoja hallussamme.

Tämän rajan sisällä käyttäjät saavat käyttöönsä valtavasti toimintoja. He voivat vaihtaa omaisuuseriä kolmannen osapuolen likviditeetin avulla, steikata lohkoketjussa, muodostaa yhteyden dAppeihin ja maksaa kortilla. Jokaisen vaiheen he vahvistavat omalla avaimellaan.

Jokaiseen integraatioon liittyy omat riskinsä, ja meidän tehtävämme on tehdä ne näkyviksi. Älysopimuksiin ja protokolliin liittyvät riskit sekä likviditeetti- tai maksukumppanin vastapuoliriski ovat todellisia, ja käyttäjällä on oikeus saada niistä tietoa.

Markkinainfrastruktuuri opetti minulle, että roolit on erotettava toisistaan. Tangem tarjoaa käyttöliittymän ja tietoturvakerroksen, erikoistuneet kumppanit likviditeetin, steikkauspalvelut ja maksut. Yksikään toimija ei hallitse sekä varoja että niiden käyttämistä.

Tokenisoituihin reaalimaailman omaisuuseriin pätee sama logiikka. Itsehallinnassa oleva tokenisoitu valtion velkasitoumus tai osake antaa omistajalle hallinnan omaisuuserän arvonkehitystä seuraavaan kohteeseen. Tämä on rakenteellinen parannus verrattuna siihen, että omistaa saatavan, joka kulkee välittäjäketjun kautta.

Oikein toteutettuna toimintojen lisääminen vähentää kokonaisriskiä. Kun käyttäjät hoitavat kaiken omista lompakoistaan, he eivät enää jätä varojaan keskitettyihin alustoihin, joilla tapahtuvat suurimmat kryptotappiot.

Kun katsotaan useita vuosia eteenpäin, uskotko erillisen ”kryptolompakon” käsitteen säilyvän vai kehittyvätkö lompakot yhä laajemmaksi taloudellisen identiteetin ja omaisuudenhallinnan kerrokseksi, joka kattaa kryptovaluutat, vakaavaluutat, tokenisoidut arvopaperit, maksut ja muut digitaalisen omistamisen muodot?

Erillinen kryptolompakko on välivaiheen tuote. Viiden vuoden päästä ihmiset lakkaavat puhumasta ”kryptolompakosta”, aivan kuten he lakkasivat puhumasta ”internetpankista”.

Lompakossa säilytät, ansaitset, käytät ja keräät – ja omistat. Tähän suuntaan rakennamme Tangemia: kryptoon keskittyvää rahoitusalustaa, joka perustuu varojen pitämiseen omassa hallinnassa.

Kiitos hienosta haastattelusta. Lukijoiden, jotka haluavat oppia lisää laitteistolompakoista, varojen pitämisestä omassa hallinnassa ja digitaalisten omaisuuserien päivittäisestä hallinnoinnista, kannattaa tutustua Tangemiin.