Cyberbezpieczeństwo w świecie kryptowalut

Wiadomość o podejrzanym logowaniu, fałszywe wsparcie klienta lub złośliwy link mogą w jednej chwili zagrozić naszym kryptowalutom. Atakujący nie musi przy tym łamać blockchainu ani zdobywać klucza prywatnego. Czasem wystarczy, że przekona nas, abyśmy sami podali dane dostępowe, wysłali środki lub zatwierdzili niebezpieczną operację.

Bezpieczeństwo kryptowalut nie polega więc wyłącznie na wyborze portfela. Równie ważne jest chronienie kont, urządzeń i kopii zapasowych oraz rozumienie tego, co potwierdzamy podczas korzystania z kryptowalut.

Bezpieczeństwo blockchainu i naszych środków

Kradzież kryptowalut nie musi oznaczać złamania samej sieci blockchain. Przyczyną może być przejęte konto u dostawcy, ujawniona fraza odzyskiwania lub złośliwa aplikacja. Każde z tych ryzyk wymaga innego sposobu ochrony.

Przechowując kryptowaluty u dostawcy, polegamy także na jego zabezpieczeniach. W przypadku własnego portfela to my odpowiadamy za klucze i ich kopie zapasowe. Odpowiednie rozwiązanie to takie, które rozumiemy, którego potrafimy bezpiecznie używać i które umiemy odtworzyć.

Phishing: gdy oszust podszywa się pod pomoc

Phishing to oszustwo, w którym atakujący podszywa się pod zaufaną usługę lub osobę. Może wysłać fałszywy e-mail o zablokowaniu konta, żądać kodu weryfikacyjnego lub wezwać nas do przeniesienia kryptowalut do rzekomo bezpiecznego portfela.

Podejrzanej wiadomości nie weryfikujemy za pomocą zawartego w niej linku. Zamiast tego otwieramy usługę samodzielnie i w razie potrzeby kontaktujemy się z oficjalnym wsparciem. Nikomu nie ujawniamy frazy odzyskiwania ani kodów weryfikacyjnych. Wiarygodne logo, bezbłędny tekst czy bezpieczne połączenie HTTPS same w sobie nie gwarantują wiarygodności strony.

Hasła, e-mail i uwierzytelnianie wieloskładnikowe

Skrzynka e-mailowa jest ważnym elementem zabezpieczeń, ponieważ za jej pośrednictwem często odzyskujemy dostęp do innych kont. Dla każdej ważnej usługi powinniśmy więc używać długiego, unikalnego hasła; pomocny może być menedżer haseł.

Dodatkową ochronę zapewnia uwierzytelnianie wieloskładnikowe. Aplikacja uwierzytelniająca bywa bezpieczniejsza niż SMS, ale również jej kodu nie wolno nam wpisać na fałszywej stronie. Jeśli usługa obsługuje passkeys lub klucze bezpieczeństwa FIDO, mogą one zapewniać większą odporność na phishing. Ważne jest także posiadanie bezpiecznie przechowywanych kodów zapasowych do odzyskania dostępu.

Fraza odzyskiwania i portfel sprzętowy

Fraza odzyskiwania (seed) nie jest zwykłym hasłem. W wielu portfelach umożliwia ponowne wyprowadzenie kluczy i odzyskanie dostępu do środków. Kto ją zdobędzie, może w określonych warunkach kontrolować portfel nawet bez pierwotnego urządzenia. Dlatego nie przechowujemy jej jako zdjęcia w telefonie ani w niezabezpieczonym dokumencie w chmurze. Kopia zapasowa musi być bezpieczna, ale jednocześnie dostępna na wypadek odzyskiwania.

Portfel sprzętowy chroni klucze prywatne, podpisując operacje wewnątrz urządzenia. Nie zapobiegnie jednak stracie, jeśli sami potwierdzimy przelew do atakującego lub niebezpieczne uprawnienie. Przed potwierdzeniem zawsze sprawdzamy, co urządzenie faktycznie wyświetla.

Uwaga na podpisy i uprawnienia aplikacji

Korzystając ze zdecentralizowanych aplikacji, możemy zatwierdzać nie tylko przelewy, ale także uprawnienia smart kontraktów do dysponowania naszymi tokenami. Jeśli przyznamy zbyt szerokie uprawnienie szkodliwemu kontraktowi, zagrożone mogą być także inne tokeny, których dotyczy zgoda.

Połączenie portfela ze stroną, podpisanie wiadomości i przyznanie uprawnienia to nie to samo. Zamknięcie strony nie musi ponadto anulować wcześniej udzielonej zgody. Jeśli nie rozumiemy żądanej operacji, nie potwierdzamy jej; starsze uprawnienia można w obsługiwanych sieciach sprawdzać i cofać za pomocą zweryfikowanych narzędzi.

Przy przelewie sprawdzamy adres i sieć

Atakujący mogą podrzucić do historii transakcji adres podobny do tego, którego wcześniej używaliśmy. Metoda ta nazywa się address poisoning. Adres odbiorcy pozyskujemy więc ze zweryfikowanego źródła i przed wysłaniem sprawdzamy go w całości.

Równie ważne jest sprawdzenie kryptowaluty, sieci blockchain i ewentualnych dodatkowych danych, na przykład memo lub tagu. Błędnego przelewu może nie dać się cofnąć. W przypadku nowego odbiorcy pomocna może być próbna transakcja na niewielką kwotę, ale i ona nie zastępuje sprawdzenia kolejnego przelewu.

Fałszywe platformy inwestycyjne i ochrona urządzeń

Nie wszystkie oszustwa wymagają kradzieży hasła. Fałszywa platforma inwestycyjna może wyświetlać fikcyjne zyski, a przy próbie wypłaty żądać kolejnych płatności za rzekomy podatek lub odblokowanie konta. Sygnałami ostrzegawczymi są obietnice gwarantowanych wysokich zysków, presja na szybką decyzję i niezamówione oferty pomocy.

Ryzyko zmniejszają także aktualizacje telefonu i komputera, instalowanie aplikacji ze zweryfikowanych źródeł oraz odmawianie niezamówionego zdalnego dostępu do urządzenia. Przy częstszym korzystaniu z aplikacji blockchainowych rozsądne może być oddzielenie aktywów przechowywanych długoterminowo od środków przeznaczonych do eksperymentowania.

Co robić w przypadku podejrzenia ataku

Przestajemy reagować na podejrzaną osobę, a z usługą kontaktujemy się wyłącznie zweryfikowanym kanałem. W przypadku zagrożonego konta zmieniamy hasło z zaufanego urządzenia, sprawdzamy logowania i powiadamiamy dostawcę. Jeśli oszustwo jest związane z przelewem bankowym, kontaktujemy się także z bankiem.

W przypadku własnego portfela wiele zależy od przyczyny. Szkodliwe uprawnienie może wymagać cofnięcia, ale przy wycieku klucza prywatnego lub seedu konieczne jest przejście na nowy portfel z niezależnie utworzonymi kluczami i bezpieczne przeniesienie ewentualnych pozostałych środków. Zachowujemy komunikację i identyfikatory transakcji, a podejrzenie przestępstwa zgłaszamy czeskiej policji. Uwaga także na oszustów obiecujących odzyskanie kryptowalut za opłatą z góry.

Podsumowanie

Bezpieczeństwo kryptowalut to połączenie odpowiednich technologii i codziennych nawyków. Silne hasła, uwierzytelnianie wieloskładnikowe, bezpieczne kopie zapasowe i sprawdzanie transakcji pomagają ograniczać ryzyko, ale żadne narzędzie nie zastąpi naszych własnych decyzji.

Przed każdym potwierdzeniem powinniśmy wiedzieć, komu i co wysyłamy, jakiej sieci używamy i jakie uprawnienia przyznajemy. Jeśli nie rozumiemy żądania, bezpieczniej jest wstrzymać operację i niezależnie ją zweryfikować.

Ten tekst służy wyłącznie celom informacyjnym i edukacyjnym i nie stanowi porady inwestycyjnej. Kryptoaktywa są zmienne i możesz stracić całą zainwestowaną kwotę.