Κυβερνοασφάλεια στον κόσμο των κρυπτονομισμάτων

Ας φανταστούμε ότι λαμβάνουμε ένα μήνυμα από την εταιρεία μέσω της οποίας αγοράζουμε κρυπτονομίσματα. Μας ειδοποιεί για μια ύποπτη σύνδεση και μας καλεί να ασφαλίσουμε αμέσως τον λογαριασμό μας. Ανοίγουμε τον σύνδεσμο, εισάγουμε τα στοιχεία σύνδεσης και τον κωδικό επαλήθευσης. Όλα μοιάζουν με έναν συνηθισμένο έλεγχο ασφαλείας. Όμως το μήνυμα δεν το έστειλε το ανταλλακτήριό μας. Ο σύνδεσμος οδηγούσε σε έναν δόλιο ιστότοπο και τα στοιχεία μας μόλις τα απέκτησε ένας επιτιθέμενος.

Σε μια άλλη περίπτωση, διατηρούμε κρυπτονομίσματα στο δικό μας πορτοφόλι υλικού. Τα κλειδιά προστατεύονται μέσα στη συσκευή και δεν έχουμε αποκαλύψει σε κανέναν τη φράση ανάκτησης. Παρ’ όλα αυτά, μπορούμε να χάσουμε μέρος των κεφαλαίων μας αν, κατά τη χρήση μιας εφαρμογής blockchain, εγκρίνουμε εμείς οι ίδιοι μια κακόβουλη λειτουργία. Ο επιτιθέμενος δεν χρειάζεται να αποκτήσει το κλειδί μας. Αρκεί να μας πείσει να υπογράψουμε οι ίδιοι την κακόβουλη λειτουργία.

Γι’ αυτό η κυβερνοασφάλεια στον κόσμο των κρυπτονομισμάτων περιλαμβάνει περισσότερα από την απλή επιλογή ενός πορτοφολιού. Πρέπει να κατανοούμε πώς προστατεύουμε την πρόσβαση στον λογαριασμό, τι επιτρέπει τη διαχείριση των περιουσιακών μας στοιχείων και ποιες συνέπειες μπορεί να έχει η επιβεβαίωση μιας συγκεκριμένης λειτουργίας. Ακριβώς η κατανόηση αυτών των διαφορών θα μας βοηθήσει να αναγνωρίζουμε καταστάσεις στις οποίες ένα φαινομενικά συνηθισμένο βήμα μπορεί να έχει σοβαρές οικονομικές συνέπειες.

Η ασφάλεια του blockchain και η ασφάλεια των κεφαλαίων μας

Όταν εμφανίζεται μια είδηση για κλεμμένα κρυπτονομίσματα, δημιουργείται εύκολα η εντύπωση ότι κάποιος παραβίασε ολόκληρο το blockchain. Στην πραγματικότητα, όμως, μπορεί να πρόκειται για αρκετά διαφορετικά συμβάντα. Ένας παραβιασμένος λογαριασμός σε πάροχο, ένα διαρρεύσαν ιδιωτικό κλειδί ή ένα σφάλμα σε μια εφαρμογή δεν είναι το ίδιο με την αποτυχία των κανόνων του ίδιου του δικτύου. Για τον χρήστη, όλες αυτές οι καταστάσεις μπορεί να καταλήξουν σε απώλεια χρημάτων, απαιτούν όμως διαφορετική πρόληψη και διαφορετική αντίδραση.

Γι’ αυτό είναι χρήσιμο να αντιλαμβανόμαστε την ασφάλεια σε πολλά επίπεδα. Ένα επίπεδο αποτελεί το δίκτυο blockchain και οι κανόνες του. Άλλα επίπεδα αποτελούν οι εφαρμογές, τα έξυπνα συμβόλαια και οι εταιρείες μέσω των οποίων χρησιμοποιούμε κρυπτονομίσματα. Εξίσου σημαντικά είναι το ηλεκτρονικό μας ταχυδρομείο, το τηλέφωνο, ο υπολογιστής, τα στοιχεία σύνδεσης και ο τρόπος με τον οποίο εγκρίνουμε λειτουργίες. Η καλή ασφάλεια ενός επιπέδου δεν αντικαθιστά την προστασία των υπολοίπων.

Σημασία έχει επίσης ποιος διαχειρίζεται τα κλειδιά. Όταν τα κεφάλαια φυλάσσονται σε πάροχο, προστατεύουμε την πρόσβαση στον λογαριασμό μας και ταυτόχρονα βασιζόμαστε στην ασφάλεια και τη λειτουργία της συγκεκριμένης εταιρείας. Με το δικό μας πορτοφόλι αναλαμβάνουμε την ευθύνη για τη διαχείριση των κλειδιών και των αντιγράφων ασφαλείας. Ο διαχωρισμός σε πορτοφόλια υλικού και λογισμικού είναι κάτι διαφορετικό από τη διάκριση ανάλογα με το αν διαχειριζόμαστε τα κλειδιά μόνοι μας ή τα εμπιστευόμαστε σε πάροχο. Και ένα πορτοφόλι λογισμικού μπορεί να επιτρέπει την αυτοφύλαξη.

Η επιλογή του τρόπου φύλαξης θα πρέπει επομένως να αντιστοιχεί σε αυτό που κατανοούμε και μπορούμε να διαχειριζόμαστε μακροπρόθεσμα. Μια πιο σύνθετη ρύθμιση δεν είναι απαραίτητα ασφαλέστερη για έναν συγκεκριμένο άνθρωπο, αν αργότερα δεν μπορεί να ανακτήσει την πρόσβαση ή να αναγνωρίσει ένα πιθανό σφάλμα.

Όταν η επίθεση μοιάζει με βοήθεια

Το phishing είναι μια απάτη κατά την οποία ο επιτιθέμενος παριστάνει ένα αξιόπιστο πρόσωπο ή μια αξιόπιστη υπηρεσία, ώστε να αποκτήσει ευαίσθητα στοιχεία ή να παρασύρει κάποιον σε μια επικίνδυνη ενέργεια. Στον κόσμο των κρυπτονομισμάτων μπορεί να πρόκειται για ένα ψεύτικο email ανταλλακτηρίου, μια απομιμούμενη εφαρμογή ή ένα μήνυμα από τη δήθεν υποστήριξη ενός πορτοφολιού. Ο απατεώνας μπορεί επίσης να επικοινωνήσει τηλεφωνικά ή μέσω προσωπικού μηνύματος σε ένα μέσο κοινωνικής δικτύωσης.

Ας φανταστούμε μια ειδοποίηση ότι πρέπει μέσα σε τριάντα λεπτά να μεταφέρουμε τα κεφάλαιά μας σε ένα «ασφαλές πορτοφόλι». Η οδηγία μπορεί να συνοδεύεται από το όνομά μας, ένα γνωστό λογότυπο και μια εξήγηση που ακούγεται πειστική. Καθοριστικό, ωστόσο, είναι ποιος ελέγχει τη διεύθυνση προορισμού και αν επαληθεύσαμε το αίτημα ανεξάρτητα από το μήνυμα που λάβαμε. Αν το σημείο φύλαξης των περιουσιακών στοιχείων το όρισε ένας απατεώνας, μπορεί να του στείλουμε εμείς οι ίδιοι τα κεφάλαιά μας.

Με παρόμοιο τρόπο λειτουργεί και το αίτημα για «επαλήθευση» της φράσης ανάκτησης. Η Trezor, για παράδειγμα, τονίζει ρητά ότι η υποστήριξή της δεν τη χρειάζεται και ότι ο χρήστης δεν πρέπει να την αποκαλύπτει σε κανέναν. Η επαγγελματική εμφάνιση ενός μηνύματος δεν αποδεικνύει την πραγματική του προέλευση. Η τεχνητή νοημοσύνη επιτρέπει σήμερα τη δημιουργία πειστικών κειμένων, αλλά και τη μίμηση φωνής ή εικόνας. Τα γλωσσικά λάθη μπορεί λοιπόν να αποτελούν προειδοποιητικό σήμα, η απουσία τους όμως δεν επιβεβαιώνει την αξιοπιστία του μηνύματος.

Μια πρακτική άμυνα είναι να διακόψουμε τη διαδρομή που μας έχει ετοιμάσει ο επιτιθέμενος. Αντί να κάνουμε κλικ στον σύνδεσμο του μηνύματος, ανοίγουμε μια γνωστή εφαρμογή ή την επαληθευμένη διεύθυνση της υπηρεσίας και ελέγχουμε εκεί απευθείας το πιθανό πρόβλημα. Επικοινωνούμε με την εξυπηρέτηση πελατών μέσω των επίσημων καναλιών της. Ούτε το HTTPS ούτε το σύμβολο ασφαλούς σύνδεσης επιβεβαιώνουν την αξιοπιστία του διαχειριστή. Μια κρυπτογραφημένη σύνδεση μπορεί να χρησιμοποιεί και ένας δόλιος ιστότοπος.

Το ηλεκτρονικό ταχυδρομείο αποτελεί μέρος της προστασίας του λογαριασμού

Κατά την ασφάλιση μιας επενδυτικής εφαρμογής, εύκολα παραβλέπουμε το ηλεκτρονικό ταχυδρομείο μέσω του οποίου ανακτούμε την πρόσβαση. Αν κάποιος το ελέγξει, μπορεί να λάβει ειδοποιήσεις ασφαλείας ή να ξεκινήσει επαναφορά κωδικού πρόσβασης σε συνδεδεμένες υπηρεσίες. Οι δυνατότητες του επιτιθέμενου εξαρτώνται από τη συγκεκριμένη ασφάλεια, η προστασία του ηλεκτρονικού ταχυδρομείου όμως αποτελεί σημαντικό μέρος ολόκληρου του συστήματος.

Για κάθε σημαντικό λογαριασμό έχει νόημα να χρησιμοποιούμε έναν μακρύ και μοναδικό κωδικό πρόσβασης. Η επαναχρησιμοποίηση του ίδιου κωδικού συνδέει την ασφάλεια διαφορετικών υπηρεσιών. Μια διαρροή σε μία από αυτές μπορεί έτσι να θέσει σε κίνδυνο και τις υπόλοιπες. Ένας διαχειριστής κωδικών πρόσβασης βοηθά στη δημιουργία και διατήρηση διαφορετικών στοιχείων πρόσβασης, χωρίς να χρειάζεται να τα θυμόμαστε όλα. Ωστόσο, και ο ίδιος ο διαχειριστής κωδικών χρειάζεται ισχυρή ασφάλεια και έναν καλά μελετημένο τρόπο ανάκτησης της πρόσβασης.

Ένα ακόμη επίπεδο προστασίας είναι ο έλεγχος ταυτότητας πολλαπλών παραγόντων, ο οποίος εκτός από τον κωδικό πρόσβασης χρησιμοποιεί και έναν πρόσθετο τρόπο απόδειξης της ταυτότητας. Ένας κωδικός μίας χρήσης από εφαρμογή ελέγχου ταυτότητας προσφέρει κατά κανόνα καλύτερη προστασία από τα SMS, όμως και αυτόν μπορούμε να τον εισαγάγουμε σε ψεύτικη σελίδα. Όπου η υπηρεσία υποστηρίζει σωστά υλοποιημένα κλειδιά πρόσβασης (passkeys) ή κλειδιά ασφαλείας του προτύπου FIDO, μπορεί να επιτευχθεί προστασία πιο ανθεκτική στο phishing. Καμία από αυτές τις μεθόδους, ωστόσο, δεν εξαλείφει όλους τους κινδύνους που σχετίζονται με τον λογαριασμό.

Μέρος της ασφάλειας πρέπει να είναι και η δυνατότητα ασφαλούς ανάκτησης της πρόσβασης. Η απώλεια του τηλεφώνου ή του κλειδιού ασφαλείας δεν θα πρέπει να μας αιφνιδιάσει μόλις συμβεί στην πραγματικότητα. Τους εφεδρικούς κωδικούς τους φυλάσσουμε σύμφωνα με τις οδηγίες της υπηρεσίας σε προστατευμένο σημείο. Τον κωδικό επαλήθευσης τον εισάγουμε μόνο σε μια λειτουργία που ξεκινήσαμε εμείς οι ίδιοι σε μια επαληθευμένη υπηρεσία. Ποτέ δεν τον αποκαλύπτουμε σε κάποιον που μας τηλεφώνησε απροσδόκητα.

Η φράση ανάκτησης έχει διαφορετικό ρόλο από τον κωδικό πρόσβασης

Ο κωδικός πρόσβασης μιας εφαρμογής, το PIN ενός πορτοφολιού υλικού και η φράση ανάκτησης δεν είναι εναλλάξιμα στοιχεία. Ο κωδικός ή το PIN μπορεί να προστατεύει τη χρήση μιας συγκεκριμένης εφαρμογής ή συσκευής. Το ιδιωτικό κλειδί επιτρέπει τη δημιουργία των ψηφιακών υπογραφών που απαιτούνται για τη διαχείριση των περιουσιακών στοιχείων. Στα συνηθισμένα πορτοφόλια που βασίζονται σε seed, η φράση ανάκτησης χρησιμεύει ως αντίγραφο ασφαλείας από το οποίο μπορούν να παραχθούν ξανά τα αντίστοιχα κλειδιά.

Αυτό εξηγεί γιατί η αποκάλυψη της φράσης ανάκτησης είναι τόσο σοβαρή. Ένας επιτιθέμενος που αποκτά το απαραίτητο αντίγραφο ασφαλείας μπορεί να επαναφέρει το πορτοφόλι σε άλλη συσκευή. Δεν χρειάζεται καν να γνωρίζει το PIN της αρχικής συσκευής. Σε ορισμένες ρυθμίσεις, για την επαναφορά απαιτείται και ένα πρόσθετο στοιχείο, για παράδειγμα passphrase, ή περισσότερα τμήματα του αντιγράφου ασφαλείας. Οι ακριβείς κανόνες εξαρτώνται από τη λύση που χρησιμοποιείται και πρέπει να τους κατανοούμε πριν αποθηκεύσουμε μεγαλύτερο ποσό κεφαλαίων.

Στην τυπική αυτοφύλαξη, μια λογική βάση είναι η διατήρηση του αντιγράφου ασφαλείας εκτός του συνηθισμένου ψηφιακού περιβάλλοντος. Μια φωτογραφία στο τηλέφωνο, ένα μη κρυπτογραφημένο έγγραφο ή μια σημείωση που συγχρονίζεται στο cloud αποτελούν πρόσθετες ευκαιρίες για την κλοπή του. Ταυτόχρονα, το αντίγραφο ασφαλείας πρέπει να παραμένει ευανάγνωστο και προστατευμένο από απώλεια ή φθορά. Η ασφάλεια εδώ δεν σημαίνει μόνο την αποτροπή μη εξουσιοδοτημένης πρόσβασης, αλλά και τη διατήρηση της δυνατότητας επαναφοράς του πορτοφολιού.

Η διαχείριση των αντιγράφων ασφαλείας έχει επομένως σημασία και από την άποψη της κληρονομιάς. Ένα αντίγραφο ασφαλείας φυλαγμένο έτσι ώστε να μην το βρει κανείς αναρμόδιος δεν θα μας βοηθήσει, αν μετά την απώλεια της συσκευής δεν μπορούμε να το βρούμε ούτε εμείς. Οδηγίες που έχουν μελετηθεί εκ των προτέρων μπορούν να συνδυάσουν την προστασία της περιουσίας εν ζωή με τη δυνατότητα νόμιμης μεταβίβασής της. Για τον σκοπό αυτό, ωστόσο, δεν χρειάζεται να στείλουμε την ίδια τη φράση ανάκτησης στην οικογένεια μέσω email.

Τι μπορεί να κάνει ένα πορτοφόλι υλικού

Ένα πορτοφόλι υλικού, για παράδειγμα το τσεχικό Trezor, διαχωρίζει τον χειρισμό των ιδιωτικών κλειδιών από το συνηθισμένο τηλέφωνο ή τον υπολογιστή. Σε μια συσκευή που χρησιμοποιείται σωστά, η υπογραφή γίνεται μέσα στο πορτοφόλι και τα κλειδιά δεν αποστέλλονται στη συνδεδεμένη εφαρμογή. Έτσι περιορίζεται ο κίνδυνος κλοπής τους μέσω κακόβουλου λογισμικού στον υπολογιστή. Τα ίδια τα περιουσιακά στοιχεία παραμένουν καταγεγραμμένα στο blockchain. Η συσκευή προστατεύει τα μέσα που απαιτούνται για τον έλεγχό τους.

Αυτή η προστασία, ωστόσο, δεν σημαίνει ότι κάθε επιβεβαιωμένη λειτουργία θα είναι προς το συμφέρον μας. Αν εγκρίνουμε εμείς οι ίδιοι μια μεταφορά στον επιτιθέμενο ή μια επικίνδυνη εξουσιοδότηση, η υπογραφή μπορεί να είναι τεχνικά σωστή και παρ’ όλα αυτά να έχει επιβλαβείς συνέπειες. Γι’ αυτό είναι σημαντικό να ελέγχουμε τα στοιχεία στην αξιόπιστη οθόνη της συσκευής και να κατανοούμε τι επιβεβαιώνουμε. Στις πιο σύνθετες λειτουργίες, επιπλέον, διαφέρει το πόσο κατανοητά μπορεί να τις εμφανίσει κάθε συγκεκριμένο πορτοφόλι.

Μπορούμε λοιπόν να φανταστούμε το πορτοφόλι υλικού ως ένα εργαλείο που προστατεύει τη διαδικασία υπογραφής. Η απόφαση για το τι θα υπογράψουμε, ωστόσο, παραμένει δική μας. Αν η διεπαφή εμφανίζει μόνο ακατανόητα δεδομένα ή το αίτημα δεν αντιστοιχεί στην ενέργεια που σκοπεύουμε να κάνουμε, η ασφαλής πρακτική είναι να σταματήσουμε τη λειτουργία και να επαληθεύσουμε τη σημασία της. Ούτε μια ακριβή συσκευή μπορεί να αντικαταστήσει αυτόν τον έλεγχο. Ούτε θα μας προστατεύσει αν εισαγάγουμε εμείς οι ίδιοι τη φράση ανάκτησης σε έναν δόλιο ιστότοπο.

Μια ψηφιακή υπογραφή μπορεί να σημαίνει και εξουσιοδότηση

Κατά τη χρήση εφαρμογών blockchain δεν επιβεβαιώνουμε απαραίτητα μόνο μια άμεση μεταφορά. Ορισμένα tokens απαιτούν πρώτα να επιτρέψουμε σε ένα έξυπνο συμβόλαιο να διαχειρίζεται μια ορισμένη ποσότητα από τα tokens μας. Μια τέτοια εξουσιοδότηση, γνωστή ως approval, μπορεί να αποτελεί συνηθισμένο μέρος μιας αποκεντρωμένης ανταλλαγής. Σημασία, όμως, έχει σε ποιον τη δίνουμε και ποιο είναι το εύρος της.

Ας εξετάσουμε ένα υποθετικό σενάριο, όπου θέλουμε να ανταλλάξουμε tokens αξίας πενήντα ευρώ, αλλά η εφαρμογή ζητά τη δυνατότητα να διαχειρίζεται σημαντικά μεγαλύτερη ποσότητα. Η διαφορά ανάμεσα στη συναλλαγή που σκοπεύουμε να κάνουμε και στο εύρος της ζητούμενης εξουσιοδότησης αποτελεί λόγο για έλεγχο. Αν δώσουμε απεριόριστη εξουσιοδότηση σε ένα κακόβουλο συμβόλαιο, μπορεί να θέσουμε σε κίνδυνο και άλλα tokens στα οποία αφορά η συγκατάθεση. Αυτό όμως δεν σημαίνει αυτόματα πρόσβαση σε όλα τα περιουσιακά στοιχεία σε όλα τα blockchain.

Πρέπει επίσης να διακρίνουμε τη σύνδεση του πορτοφολιού, την υπογραφή ενός μηνύματος και την έγκριση μιας συγκεκριμένης εξουσιοδότησης. Η απλή, συνηθισμένη σύνδεση του πορτοφολιού σε έναν ιστότοπο κατά κανόνα δεν σημαίνει ότι ο ιστότοπος αποκτά το δικαίωμα να διαχειρίζεται τα κεφάλαιά μας. Μια επόμενη υπογραφή, όμως, μπορεί να έχει διαφορετικό αποτέλεσμα, ακόμη και όταν δεν πληρώνουμε τέλος δικτύου για τη λειτουργία. Επιπλέον, το κλείσιμο της σελίδας δεν ακυρώνει απαραίτητα μια εξουσιοδότηση διαχείρισης tokens που δόθηκε προηγουμένως. Η αποσύνδεση της εφαρμογής και η ανάκληση της συγκατάθεσης είναι δύο διαφορετικές ενέργειες.

Από αυτό προκύπτει μια χρήσιμη συνήθεια: πριν από κάθε επιβεβαίωση ελέγχουμε αν η ζητούμενη λειτουργία αντιστοιχεί σε αυτό που πραγματικά θέλαμε να κάνουμε. Αν δεν κατανοούμε τον παραλήπτη, το συμβόλαιο, το ποσό ή το εύρος της συγκατάθεσης, δεν επιβεβαιώνουμε τη λειτουργία. Παλαιότερες εξουσιοδοτήσεις μπορούν, στα δίκτυα που το υποστηρίζουν, να ελεγχθούν και να ανακληθούν μέσω επαληθευμένων εργαλείων. Ωστόσο, πρέπει να επαληθεύσουμε και τη δική τους διεύθυνση. Μια δήθεν υπηρεσία για τον «καθαρισμό του πορτοφολιού» μπορεί να είναι άλλη μια δόλια παγίδα.

Στη μεταφορά καθοριστικές είναι η διεύθυνση και το δίκτυο

Οι διευθύνσεις κρυπτονομισμάτων είναι μακριές και γι’ αυτό στην καθημερινή χρήση συχνά τις αντιγράφουμε. Ακριβώς σε αυτή τη συνήθεια στοχεύει η επίθεση που είναι γνωστή ως address poisoning. Ο απατεώνας εισάγει στο ιστορικό συναλλαγών μια διεύθυνση παρόμοια με εκείνη που έχουμε ήδη χρησιμοποιήσει και ποντάρει στο ότι την επόμενη φορά θα την αντιγράψουμε. Η αρχή και το τέλος της διεύθυνσης μπορεί να φαίνονται γνώριμα, ενώ το μεσαίο τμήμα της είναι διαφορετικό και η διεύθυνση στην πραγματικότητα ανήκει σε κάποιον άλλον. Μια τέτοια εισερχόμενη συναλλαγή από μόνη της δεν σημαίνει ότι διέρρευσαν τα κλειδιά μας.

Γι’ αυτό λαμβάνουμε τη διεύθυνση από επαληθευμένη πηγή του παραλήπτη και πριν από την επιβεβαίωση την ελέγχουμε ολόκληρη. Το ιστορικό συναλλαγών δεν θα πρέπει να λειτουργεί ως αυτομάτως αξιόπιστο βιβλίο διευθύνσεων. Για έναν νέο παραλήπτη μπορεί να βοηθήσει μια δοκιμαστική μεταφορά μικρού ποσού και η επακόλουθη επαλήθευση της παραλαβής του. Πρέπει όμως να ληφθούν υπόψη το τέλος συναλλαγής και το ενδεχόμενο ελάχιστο ποσό που απαιτείται για την πίστωση της κατάθεσης. Ούτε μια επιτυχημένη δοκιμή, ωστόσο, αντικαθιστά τον έλεγχο των στοιχείων στην επόμενη, μεγαλύτερη μεταφορά.

Εκτός από τη διεύθυνση, πρέπει να αντιστοιχούν και το περιουσιακό στοιχείο και το δίκτυο blockchain. Ορισμένα tokens υπάρχουν σε περισσότερα δίκτυα και η υπηρεσία παραλαβής δεν υποστηρίζει απαραίτητα όλα. Μια διεύθυνση που φαίνεται ίδια, επομένως, δεν εγγυάται από μόνη της τη σωστή παράδοση των κεφαλαίων. Πριν από την αποστολή διαβάζουμε πάντα τις τρέχουσες οδηγίες του παραλήπτη, συμπεριλαμβανομένου ενός ενδεχόμενου πρόσθετου αναγνωριστικού, για παράδειγμα memo ή tag. Μια λανθασμένη μεταφορά μπορεί να μην είναι δυνατό να διορθωθεί και η ενδεχόμενη ανάκτηση των κεφαλαίων μπορεί να υπόκειται σε πρόσθετους όρους.

Σημαντικό μέρος της προστασίας αποτελούν λοιπόν μερικές στιγμές που αφιερώνουμε στον έλεγχο πριν από την επιβεβαίωση της συναλλαγής. Σε μια συνηθισμένη πληρωμή έχουμε συνηθίσει να επαληθεύουμε τον αριθμό λογαριασμού και το ποσό. Στα κρυπτονομίσματα προσθέτουμε σε αυτά το δίκτυο, τον τύπο του περιουσιακού στοιχείου και τυχόν πρόσθετες απαιτήσεις.

Η ασφάλεια απαιτεί και προστασία των συσκευών και σωστές συνήθειες

Ο υπολογιστής, το τηλέφωνο και το πρόγραμμα περιήγησης αποτελούν το περιβάλλον στο οποίο χειριζόμαστε λογαριασμούς και πορτοφόλια. Οι τακτικές ενημερώσεις διορθώνουν γνωστές ευπάθειες ασφαλείας και γι’ αυτό θα πρέπει να αποτελούν συνηθισμένο μέρος της διαχείρισής τους. Εξίσου σημαντικό είναι να αποφεύγουμε την εγκατάσταση άγνωστων προγραμμάτων και περιττών επεκτάσεων του προγράμματος περιήγησης. Την εφαρμογή του πορτοφολιού την αναζητούμε μέσω του επαληθευμένου ιστότοπου του προγραμματιστή της και ελέγχουμε τον πραγματικό εκδότη της.

Ένα έντονο προειδοποιητικό σήμα είναι μια αυτόκλητη προσφορά βοήθειας που απαιτεί απομακρυσμένη πρόσβαση στη συσκευή. Κάποιος που παριστάνει τον επενδυτικό σύμβουλο μπορεί, κατά τη δήθεν «ρύθμιση της επένδυσης», να παρακολουθεί την οθόνη μας, να μας παρασύρει να επιβεβαιώνουμε πληρωμές ή να αποκτήσει άλλα ευαίσθητα στοιχεία. Η τσεχική αστυνομία έχει επανειλημμένα προειδοποιήσει για αυτή τη μέθοδο στις απάτες με κρυπτονομίσματα.

Όταν χρησιμοποιούμε κρυπτονομίσματα πιο ενεργά, μπορούμε επίσης να διαχωρίσουμε την περιουσία που διακρατούμε μακροπρόθεσμα από τα κεφάλαια που προορίζονται για δοκιμή μεμονωμένων εφαρμογών. Ο σκοπός είναι να περιοριστεί η αξία των περιουσιακών στοιχείων που εκτίθενται σε ένα συγκεκριμένο σφάλμα. Αυτός ο διαχωρισμός, ωστόσο, πρέπει να αντιστοιχεί στον πραγματικό τρόπο διαχείρισης των κλειδιών. Ένας πρόσθετος λογαριασμός που δημιουργείται από την ίδια διαρρεύσασα φράση ανάκτησης δεν λύνει το πρόβλημα της παραβίασής της. Ομοίως, πολλά πορτοφόλια σε έναν παραβιασμένο υπολογιστή δεν αποτελούν απαραίτητα ανεξάρτητη προστασία.

Όταν η απόδοση υπάρχει μόνο στην οθόνη

Ορισμένες απάτες με κρυπτονομίσματα δεν χρειάζονται ούτε κλοπή κωδικού πρόσβασης ούτε παραβίαση πορτοφολιού. Ο δράστης πείθει κάποιον να στέλνει ο ίδιος χρήματα σε μια δήθεν επενδυτική πλατφόρμα. Στην εφαρμογή το θύμα παρακολουθεί ένα αυξανόμενο υπόλοιπο, το οποίο όμως μπορεί να μην αντιστοιχεί σε κανένα πραγματικό περιουσιακό στοιχείο. Όταν θέλει να κάνει ανάληψη των χρημάτων, έρχεται αίτημα για νέα πληρωμή για ξεμπλοκάρισμα του λογαριασμού, επαλήθευση ταυτότητας ή δήθεν φόρο.

Ας φανταστούμε ότι καταθέσαμε τριάντα χιλιάδες κορώνες και μετά από μερικές εβδομάδες βλέπουμε στον λογαριασμό αξία εξήντα χιλιάδων. Ο αριθμός στην οθόνη από μόνος του δεν εξηγεί ποιος κατέχει τα περιουσιακά στοιχεία ούτε αν μπορούν πράγματι να αναληφθούν. Ακόμη και μια αρχική ανάληψη μικρού ποσού μπορεί να αποτελεί μέρος της οικοδόμησης εμπιστοσύνης. Μια νέα κατάθεση μπορεί έτσι απλώς να βαθύνει την απώλεια, αντί να επιτρέψει την απόκτηση της υποσχόμενης απόδοσης.

Κατά την αξιολόγηση μιας υπηρεσίας χρειάζεται επομένως να γνωρίζουμε τον πραγματικό διαχειριστή της, τους όρους και τον τρόπο διαχείρισης των κεφαλαίων. Η υπόσχεση εγγυημένης υψηλής απόδοσης, η πίεση για γρήγορη απόφαση ή η οδηγία να κρατήσουμε την επένδυση κρυφή από τον περίγυρό μας αποτελούν λόγο για προσοχή και ενδελεχή έλεγχο της προσφοράς. Ούτε ο ασφαλής χειρισμός του πορτοφολιού από μόνος του μας προστατεύει από την αποστολή χρημάτων σε ένα δόλιο έργο.

Πώς να αντιδράσουμε όταν υποψιαζόμαστε παραβίαση

Η πρώτη αντίδραση εξαρτάται από το τι πραγματικά συνέβη. Σταματάμε να εκτελούμε τις οδηγίες του ύποπτου προσώπου και κάνουμε τα επόμενα βήματα αποκλειστικά μέσω επαληθευμένων καναλιών. Αν υποψιαζόμαστε ότι ο υπολογιστής έχει παραβιαστεί, ασφαλίζουμε τους λογαριασμούς από άλλη, αξιόπιστη συσκευή. Στον λογαριασμό που κινδυνεύει αλλάζουμε τα στοιχεία πρόσβασης, ελέγχουμε τις ενεργές συνδέσεις και τις διαθέσιμες ρυθμίσεις ασφαλείας. Επικοινωνούμε επίσης αμέσως με τον πάροχο της υπηρεσίας και του ζητάμε βοήθεια για τον περιορισμό της μη εξουσιοδοτημένης πρόσβασης. Αν η απάτη αφορά και τραπεζική πληρωμή ή κάρτα πληρωμών, απευθυνόμαστε και στην τράπεζα.

Στο δικό μας πορτοφόλι είναι σημαντικό να διακρίνουμε ανάμεσα σε μια κακόβουλη εξουσιοδότηση και στη διαρροή των κλειδιών. Μια ύποπτη συγκατάθεση μπορεί να χρειαστεί να ανακληθεί στο αντίστοιχο δίκτυο. Αν όμως κάποιος απέκτησε τη φράση ανάκτησης ή το ιδιωτικό κλειδί, ούτε η ανάκληση της συγκατάθεσης ούτε η αλλαγή του κωδικού της εφαρμογής καταργούν την πρόσβασή του. Σε μια τέτοια περίπτωση πρέπει να σταματήσουμε να χρησιμοποιούμε το πορτοφόλι που κινδυνεύει και να μεταφέρουμε με ασφάλεια τα τυχόν εναπομείναντα κεφάλαια σε ένα νέο, ανεξάρτητα δημιουργημένο πορτοφόλι.

Ένα νέο πορτοφόλι σε μια τέτοια κατάσταση σημαίνει πραγματικά νέα κλειδιά και ένα ασφαλές αντίγραφο ασφαλείας που δημιουργήθηκε σε αξιόπιστο περιβάλλον. Η απλή προσθήκη ενός ακόμη λογαριασμού κάτω από το ίδιο seed δεν αρκεί. Η συγκεκριμένη διαδικασία, ωστόσο, εξαρτάται από το δίκτυο και τον τρόπο της παραβίασης. Αν τα εισερχόμενα κεφάλαια εξαφανίζονται αμέσως, πίσω από αυτό μπορεί να βρίσκεται ένα αυτοματοποιημένο πρόγραμμα του επιτιθέμενου. Η περαιτέρω αποστολή κρυπτονομισμάτων για τέλη συναλλαγών μπορεί τότε να οδηγήσει μόνο σε νέες απώλειες. Μια τέτοια κατάσταση την αντιμετωπίζουμε επομένως σύμφωνα με τις επαληθευμένες οδηγίες της υποστήριξης του συγκεκριμένου πορτοφολιού.

Ταυτόχρονα είναι σημαντικό να διαφυλάξουμε τα αποδεικτικά στοιχεία. Χρήσιμα είναι οι διευθύνσεις, τα αναγνωριστικά συναλλαγών, τα ποσά, οι ώρες, οι διευθύνσεις ιστοτόπων και όλη η επικοινωνία. Αναφέρουμε το περιστατικό στην εμπλεκόμενη υπηρεσία και, αν υποψιαζόμαστε αξιόποινη πράξη, και στην τσεχική αστυνομία. Η δημόσια ανιχνεύσιμη κίνηση των κεφαλαίων στο blockchain μπορεί να βοηθήσει την έρευνα, από μόνη της όμως δεν εγγυάται την επιστροφή τους. Ιδιαίτερη προσοχή χρειάζεται επίσης απέναντι σε ανθρώπους που επικοινωνούν στη συνέχεια με την υπόσχεση «διάσωσης κρυπτονομισμάτων» έναντι προπληρωμής. Για τέτοιες επακόλουθες απάτες προειδοποιεί και το FBI.

Η ασφάλεια ως μέρος της καθημερινής χρήσης

Πριν από την επιβεβαίωση κάθε λειτουργίας αξίζει να κάνουμε στον εαυτό μας μερικές απλές ερωτήσεις:

• – Ξεκινήσαμε εμείς οι ίδιοι αυτή τη λειτουργία και βρισκόμαστε σε επαληθευμένη εφαρμογή ή στον σωστό ιστότοπο;
• – Κατανοούμε τι πρόκειται να συμβεί με τα κεφάλαιά μας;
• – Αντιστοιχούν ο παραλήπτης, ολόκληρη η διεύθυνση, το περιουσιακό στοιχείο, το δίκτυο και το ποσό στην πρόθεσή μας;
• – Δίνουμε μόνο την εξουσιοδότηση που χρειάζεται η επιδιωκόμενη λειτουργία;
• – Παραμένουν προστατευμένα τα κλειδιά μας, η φράση ανάκτησης και οι κωδικοί επαλήθευσης;
• – Έχουμε έναν ασφαλή και κατανοητό τρόπο ανάκτησης της πρόσβασης;

Συμπέρασμα

Τα κρυπτονομίσματα μπορούν να δώσουν στον άνθρωπο μεγαλύτερο έλεγχο πάνω στην ψηφιακή του περιουσία. Με αυτή τη δυνατότητα, όμως, συνδέεται και η ευθύνη για τον τρόπο με τον οποίο προστατεύει την πρόσβαση στα κεφάλαιά του και επαληθεύει τις επιμέρους λειτουργίες. Ούτε η ασφάλεια του blockchain ούτε ένα ποιοτικό πορτοφόλι υλικού λύνουν από μόνα τους το πρόβλημα μιας αποκαλυφθείσας φράσης ανάκτησης, ενός παραβιασμένου λογαριασμού ή μιας κακόβουλης εξουσιοδότησης που εγκρίνουμε εμείς οι ίδιοι.

Η αποτελεσματική προστασία βασίζεται επομένως στον συνδυασμό κατάλληλων εργαλείων και καθημερινών συνηθειών. Μοναδικοί κωδικοί πρόσβασης, έλεγχος ταυτότητας πολλαπλών παραγόντων, ασφαλώς φυλαγμένα αντίγραφα ασφαλείας και συνεπής έλεγχος των συναλλαγών βοηθούν στον περιορισμό διαφόρων ειδών κινδύνων. Εξίσου σημαντικό, όμως, είναι να ξέρουμε να σταματάμε όταν ένα αίτημα δεν μας φαίνεται λογικό και να το επαληθεύουμε ανεξάρτητα από το πρόσωπο ή το μήνυμα που μας οδήγησε σε αυτό.

Η ασφάλεια πρέπει να λειτουργεί και σε περίπτωση απώλειας του τηλεφώνου, αλλαγής συσκευής ή ανάκτησης της πρόσβασης. Η καλύτερη λύση για έναν συγκεκριμένο χρήστη είναι επομένως εκείνη που κατανοεί και μπορεί να χρησιμοποιεί μακροπρόθεσμα. Το να αφιερώσουμε χρόνο στη σωστή ρύθμισή της είναι εξίσου σημαντικό με την απόφαση για την ίδια την αγορά κρυπτονομισμάτων.

Αυτό το κείμενο εξυπηρετεί αποκλειστικά ενημερωτικούς και εκπαιδευτικούς σκοπούς και δεν αποτελεί επενδυτική συμβουλή. Τα κρυπτο-περιουσιακά στοιχεία είναι ασταθή και μπορεί να χάσετε ολόκληρο το επενδυμένο ποσό.