Kyberbezpečnost ve světě kryptoměn

Zpráva o podezřelém přihlášení, falešná zákaznická podpora nebo škodlivý odkaz mohou během chvíle ohrozit naše kryptoměny. Útočník přitom nemusí prolomit blockchain ani získat privátní klíč. Někdy stačí, když nás přesvědčí, abychom sami sdělili přístupové údaje, odeslali prostředky nebo schválili nebezpečnou operaci.

Bezpečnost kryptoměn proto nespočívá pouze ve výběru peněženky. Stejně důležité je chránit účty, zařízení a zálohy a rozumět tomu, co při používání kryptoměn potvrzujeme.

Bezpečnost blockchainu a našich prostředků

Odcizení kryptoměn nemusí znamenat prolomení samotné blockchainové sítě. Příčinou může být napadený účet u poskytovatele, vyzrazená obnovovací fráze nebo škodlivá aplikace. Každé z těchto rizik vyžaduje jiný způsob ochrany.

Při úschově kryptoměn u poskytovatele spoléháme také na jeho zabezpečení. U vlastní peněženky naopak sami odpovídáme za klíče a jejich zálohy. Vhodné řešení je takové, kterému rozumíme a které dokážeme bezpečně používat i obnovit.

Phishing: když se podvodník vydává za pomoc

Phishing je podvod, při kterém útočník napodobuje důvěryhodnou službu nebo osobu. Může poslat falešný e-mail o zablokování účtu, vyžadovat ověřovací kód nebo nás vyzvat k převodu kryptoměn do údajně bezpečné peněženky.

Podezřelou zprávu neověřujeme přes odkaz, který obsahuje. Místo toho otevřeme službu vlastní cestou a případně kontaktujeme oficiální podporu. Nikomu nesdělujeme obnovovací frázi ani ověřovací kódy. Věrohodné logo, bezchybný text či zabezpečené spojení HTTPS samy o sobě důvěryhodnost webu nezaručují.

Hesla, e-mail a vícefaktorové ověřování

E-mailová schránka je důležitou součástí zabezpečení, protože přes ni často obnovujeme přístup k dalším účtům. Pro každou významnou službu bychom proto měli používat dlouhé, jedinečné heslo; pomoci může správce hesel.

Další ochranu nabízí vícefaktorové ověřování. Ověřovací aplikace bývá bezpečnější než SMS, ale ani její kód nesmíme zadat na podvodné stránce. Pokud služba podporuje passkeys nebo bezpečnostní klíče FIDO, mohou poskytovat vyšší odolnost vůči phishingu. Důležité je mít také bezpečně uložené záložní kódy pro obnovu přístupu.

Obnovovací fráze a hardwarová peněženka

Obnovovací fráze (seed) není běžné heslo. U řady peněženek umožňuje znovu odvodit klíče a obnovit přístup k prostředkům. Kdo ji získá, může peněženku za určitých podmínek ovládat i bez původního zařízení. Proto ji neukládáme jako fotografii v telefonu ani do nechráněného cloudového dokumentu. Záloha musí být bezpečná, ale zároveň dostupná pro případ obnovy.

Hardwarová peněženka chrání privátní klíče tím, že podepisuje operace uvnitř zařízení. Nezabrání však ztrátě, pokud sami potvrdíme převod útočníkovi nebo nebezpečné oprávnění. Před potvrzením vždy kontrolujeme, co zařízení skutečně zobrazuje.

Pozor na podpisy a oprávnění aplikací

Při používání decentralizovaných aplikací můžeme schvalovat nejen převody, ale také oprávnění smart kontraktů nakládat s našimi tokeny. Pokud udělíme příliš široké oprávnění škodlivému kontraktu, mohou být ohroženy i další tokeny, na které se souhlas vztahuje.

Připojení peněženky k webu, podpis zprávy a udělení oprávnění nejsou totéž. Zavření stránky navíc nemusí dříve udělený souhlas zrušit. Pokud nerozumíme požadované operaci, nepotvrzujeme ji; starší oprávnění lze u podporovaných sítí kontrolovat a odvolávat pomocí ověřených nástrojů.

Při převodu kontrolujeme adresu i síť

Útočníci mohou do historie transakcí podstrčit adresu podobnou té, kterou jsme dříve používali. Tento postup se označuje jako address poisoning. Adresu příjemce proto získáváme z ověřeného zdroje a před odesláním ji kontrolujeme celou.

Stejně důležité je ověřit kryptoměnu, blockchainovou síť a případné další údaje, například memo nebo tag. Chybný převod nemusí být možné vrátit. U nového příjemce může pomoci zkušební transakce malé částky, ani ta ale nenahrazuje kontrolu následného převodu.

Podvodné investiční platformy a ochrana zařízení

Ne všechny podvody vyžadují krádež hesla. Falešná investiční platforma může zobrazovat smyšlené zisky a při pokusu o výběr požadovat další platby za údajnou daň či odblokování účtu. Varováním jsou sliby zaručených vysokých výnosů, nátlak na rychlé rozhodnutí a nevyžádané nabídky pomoci.

Riziko snižují také aktualizace telefonu a počítače, instalace aplikací z ověřených zdrojů a odmítání nevyžádaného vzdáleného přístupu k zařízení. Při častějším používání blockchainových aplikací může být rozumné oddělit dlouhodobě držená aktiva od prostředků určených k experimentování.

Co dělat při podezření na napadení

Přestaneme reagovat na podezřelou osobu a službu kontaktujeme výhradně ověřeným kanálem. U ohroženého účtu změníme heslo z důvěryhodného zařízení, zkontrolujeme přihlášení a upozorníme poskytovatele. Pokud podvod souvisí s bankovní platbou, kontaktujeme také banku.

U vlastní peněženky záleží na příčině. Škodlivé oprávnění může být potřeba odvolat, ale při úniku privátního klíče nebo seedu je nutné přejít na novou peněženku s nezávisle vytvořenými klíči a případné zbývající prostředky bezpečně přesunout. Uchováme komunikaci a identifikátory transakcí a podezření na trestný čin oznámíme Policii ČR. Pozor také na podvodníky slibující vrácení kryptoměn za poplatek předem.

Závěr

Bezpečnost kryptoměn je kombinací vhodných technologií a každodenních návyků. Silná hesla, vícefaktorové ověřování, bezpečné zálohy a kontrola transakcí pomáhají omezit rizika, ale žádný nástroj nedokáže nahradit naše vlastní rozhodování.

Před každým potvrzením bychom měli vědět, komu a co odesíláme, jakou síť používáme a jaká oprávnění udělujeme. Pokud požadavku nerozumíme, je bezpečnější operaci zastavit a nezávisle ji ověřit.

Tento text slouží pouze k informačním a vzdělávacím účelům a nepředstavuje investiční poradenství. Kryptoaktiva jsou volatilní a můžete přijít o celou investovanou částku.