Cyberbezpieczeństwo w świecie kryptowalut

Wyobraźmy sobie, że dostajemy wiadomość od firmy, u której kupujemy kryptowaluty. Ostrzega przed podejrzanym logowaniem i wzywa nas do natychmiastowego zabezpieczenia konta. Otwieramy link, wpisujemy dane logowania i kod weryfikacyjny. Wszystko wygląda jak zwykła kontrola bezpieczeństwa. Tyle że wiadomości nie wysłał nasz kantor. Link prowadził na fałszywą stronę, a nasze dane właśnie przejął atakujący.

W innej sytuacji przechowujemy kryptowaluty we własnym portfelu sprzętowym. Klucze są chronione w urządzeniu, a frazy odzyskiwania nikomu nie ujawniliśmy. Mimo to możemy stracić część środków, jeśli podczas korzystania z aplikacji blockchainowej sami zatwierdzimy szkodliwą operację. Atakujący nie musi bowiem zdobyć naszego klucza. Wystarczy, że przekona nas, abyśmy sami podpisali szkodliwą operację.

Cyberbezpieczeństwo w świecie kryptowalut obejmuje zatem coś więcej niż tylko wybór portfela. Musimy rozumieć, jak chronić dostęp do konta, co umożliwia dysponowanie naszymi aktywami i jakie skutki może mieć potwierdzenie określonej operacji. Właśnie zrozumienie tych różnic pomoże nam rozpoznać sytuacje, w których pozornie zwykły krok może mieć poważne konsekwencje finansowe.

Bezpieczeństwo blockchainu a bezpieczeństwo naszych środków

Gdy pojawia się informacja o skradzionych kryptowalutach, łatwo odnieść wrażenie, że ktoś złamał cały blockchain. W rzeczywistości może jednak chodzić o kilka różnych zdarzeń. Przejęte konto u dostawcy, ujawniony klucz prywatny czy błąd w aplikacji to nie to samo co awaria zasad samej sieci. Dla użytkownika wszystkie te sytuacje mogą zakończyć się utratą pieniędzy, wymagają jednak odmiennej profilaktyki i reakcji.

Dlatego warto postrzegać bezpieczeństwo w kilku warstwach. Jedną z nich tworzy sieć blockchain i jej zasady. Kolejne stanowią aplikacje, smart kontrakty i firmy, za pośrednictwem których korzystamy z kryptowalut. Nie mniej ważne są nasza skrzynka e-mailowa, telefon, komputer, dane logowania i sposób zatwierdzania operacji. Dobre zabezpieczenie jednej warstwy nie zastępuje bowiem ochrony pozostałych.

Znaczenie ma także to, kto zarządza kluczami. Przy przechowywaniu u dostawcy chronimy dostęp do swojego konta i jednocześnie polegamy na zabezpieczeniach i funkcjonowaniu danej firmy. W przypadku własnego portfela przejmujemy odpowiedzialność za zarządzanie kluczami i kopiami zapasowymi. Podział na portfele sprzętowe i programowe to przy tym coś innego niż rozróżnienie według tego, czy kluczami zarządzamy sami, czy powierzamy je dostawcy. Również portfel programowy może umożliwiać samodzielne przechowywanie.

Wybór sposobu przechowywania powinien więc odpowiadać temu, co rozumiemy i czym potrafimy długoterminowo zarządzać. Bardziej złożona konfiguracja nie musi być dla konkretnej osoby bezpieczniejsza, jeśli później nie zdoła ona odzyskać dostępu lub rozpoznać ewentualnego błędu.

Gdy atak wygląda jak pomoc

Phishing to oszustwo, w którym atakujący podszywa się pod zaufaną osobę lub usługę, aby zdobyć wrażliwe dane lub nakłonić kogoś do niebezpiecznego działania. W świecie kryptowalut może to być fałszywy e-mail z kantoru, podrobiona aplikacja lub wiadomość od rzekomego wsparcia portfela. Oszust może odezwać się także telefonicznie lub za pośrednictwem prywatnej wiadomości w mediach społecznościowych.

Wyobraźmy sobie powiadomienie, że w ciągu trzydziestu minut musimy przenieść środki do „bezpiecznego portfela”. Polecenie może zawierać nasze imię, znane logo i wiarygodnie brzmiące wyjaśnienie. Decydujące jest jednak to, kto kontroluje adres docelowy i czy zweryfikowaliśmy żądanie niezależnie od otrzymanej wiadomości. Jeśli miejsce na przechowanie aktywów wskazał nam oszust, możemy sami wysłać mu swoje środki.

Podobnie działa prośba o „weryfikację” frazy odzyskiwania. Trezor na przykład wyraźnie ostrzega, że jego wsparcie jej nie potrzebuje, a użytkownik nie powinien jej nikomu ujawniać. Profesjonalny wygląd wiadomości nie jest przy tym dowodem jej rzeczywistego pochodzenia. Sztuczna inteligencja pozwala dziś tworzyć przekonujące teksty, a także naśladować głos lub obraz. Błędy językowe mogą więc być sygnałem ostrzegawczym, ich brak nie potwierdza jednak wiarygodności wiadomości.

Praktyczną obroną jest przerwanie ścieżki, którą przygotował dla nas atakujący. Zamiast klikać link w wiadomości, otwieramy znaną aplikację lub zweryfikowany adres usługi i ewentualny problem sprawdzamy bezpośrednio tam. Z obsługą klienta kontaktujemy się za pośrednictwem jej oficjalnych kanałów. Nawet HTTPS czy symbol bezpiecznego połączenia nie potwierdzają wiarygodności operatora. Szyfrowanego połączenia może bowiem używać także fałszywa strona.

Skrzynka e-mailowa jest częścią ochrony konta

Zabezpieczając aplikację inwestycyjną, łatwo przeoczyć skrzynkę e-mailową, za pomocą której odzyskujemy dostęp. Jeśli ktoś ją przejmie, może otrzymywać powiadomienia o bezpieczeństwie lub rozpocząć resetowanie hasła w powiązanych usługach. Możliwości atakującego zależą od konkretnych zabezpieczeń, ochrona skrzynki e-mailowej jest jednak ważną częścią całego systemu.

Dla każdego ważnego konta warto używać długiego i unikalnego hasła. Wielokrotne używanie tego samego hasła wiąże ze sobą bezpieczeństwo różnych usług. Wyciek w jednej z nich może więc zagrozić także pozostałym. Menedżer haseł pomaga tworzyć i przechowywać różne dane dostępowe bez konieczności zapamiętywania ich wszystkich. Jednak również sam menedżer haseł wymaga silnego zabezpieczenia i przemyślanego sposobu odzyskiwania dostępu.

Kolejną warstwą ochrony jest uwierzytelnianie wieloskładnikowe, które oprócz hasła wykorzystuje inny sposób potwierdzenia tożsamości. Jednorazowy kod z aplikacji uwierzytelniającej zazwyczaj zapewnia lepszą ochronę niż SMS, ale również on może zostać przez nas wpisany na fałszywej stronie. Tam, gdzie usługa obsługuje prawidłowo wdrożone klucze dostępu (passkeys) lub klucze bezpieczeństwa standardu FIDO, można uzyskać ochronę bardziej odporną na phishing. Żadna z tych metod nie eliminuje jednak wszystkich ryzyk związanych z kontem.

Elementem zabezpieczeń musi być także możliwość bezpiecznego odzyskania dostępu. Utrata telefonu lub klucza bezpieczeństwa nie powinna nas zaskoczyć dopiero wtedy, gdy rzeczywiście do niej dojdzie. Kody zapasowe przechowujemy zgodnie z instrukcjami usługi w chronionym miejscu. Kod weryfikacyjny wpisujemy tylko podczas operacji, którą sami rozpoczęliśmy w zweryfikowanej usłudze. Nigdy nie przekazujemy go osobie, która niespodziewanie do nas zadzwoniła.

Fraza odzyskiwania pełni inną rolę niż hasło

Hasło do aplikacji, PIN portfela sprzętowego i fraza odzyskiwania nie są danymi zamiennymi. Hasło lub PIN może chronić korzystanie z konkretnej aplikacji lub urządzenia. Klucz prywatny umożliwia tworzenie podpisów cyfrowych potrzebnych do dysponowania aktywami. W przypadku typowych portfeli opartych na seedzie fraza odzyskiwania służy natomiast jako kopia zapasowa, z której można ponownie wyprowadzić odpowiednie klucze.

To wyjaśnia, dlaczego ujawnienie frazy odzyskiwania jest tak poważne. Atakujący, który zdobędzie potrzebną kopię zapasową, może odtworzyć portfel na innym urządzeniu. Nie musi przy tym znać PIN-u pierwotnego urządzenia. W niektórych konfiguracjach do odtworzenia potrzebna jest jeszcze dodatkowa informacja, na przykład passphrase, lub kilka części kopii zapasowej. Dokładne zasady zależą od zastosowanego rozwiązania i trzeba je zrozumieć jeszcze przed ulokowaniem większej ilości środków.

W przypadku standardowego samodzielnego przechowywania rozsądną podstawą jest trzymanie kopii zapasowej poza zwykłym środowiskiem cyfrowym. Zdjęcie w telefonie, niezaszyfrowany dokument czy notatka synchronizowana z chmurą to kolejne możliwości jej kradzieży. Jednocześnie kopia zapasowa musi pozostać czytelna i zabezpieczona przed utratą lub uszkodzeniem. Bezpieczeństwo oznacza tu nie tylko zapobieganie nieuprawnionemu dostępowi, ale także zachowanie możliwości odtworzenia portfela.

Zarządzanie kopiami zapasowymi ma więc znaczenie również z punktu widzenia dziedziczenia. Kopia zapasowa schowana tak, by nie znalazła jej żadna niepowołana osoba, nie pomoże nam, jeśli po utracie urządzenia nie znajdziemy jej nawet my. Wcześniej przemyślane instrukcje mogą połączyć ochronę majątku za życia z możliwością jego uprawnionego przekazania. Samej frazy odzyskiwania nie musimy jednak w tym celu rozsyłać rodzinie e-mailem.

Co potrafi portfel sprzętowy

Portfel sprzętowy, na przykład czeski Trezor, oddziela pracę z kluczami prywatnymi od zwykłego telefonu lub komputera. W prawidłowo używanym urządzeniu podpisywanie odbywa się wewnątrz portfela, a klucze nie są przesyłane do podłączonej aplikacji. Ogranicza to ryzyko ich kradzieży przez złośliwe oprogramowanie na komputerze. Same aktywa pozostają przy tym zapisane w blockchainie. Urządzenie chroni narzędzia potrzebne do dysponowania nimi.

Ta ochrona nie oznacza jednak, że każda potwierdzona operacja będzie w naszym interesie. Jeśli sami zatwierdzimy przelew do atakującego lub niebezpieczne uprawnienie, podpis może być technicznie poprawny, a mimo to mieć szkodliwe skutki. Dlatego ważne jest sprawdzanie danych na zaufanym wyświetlaczu urządzenia i rozumienie tego, co potwierdzamy. W przypadku bardziej złożonych operacji różni się ponadto to, jak zrozumiale potrafi je wyświetlić konkretny portfel.

Portfel sprzętowy możemy więc wyobrazić sobie jako narzędzie, które chroni proces podpisywania. Decyzja o tym, co podpiszemy, pozostaje jednak po naszej stronie. Jeśli interfejs wyświetla tylko niezrozumiałe dane lub żądanie nie odpowiada zamierzonemu działaniu, bezpiecznym postępowaniem jest wstrzymanie operacji i zweryfikowanie jej znaczenia. Nawet drogie urządzenie nie zastąpi tej kontroli. Nie ochroni nas też, jeśli sami wpiszemy frazę odzyskiwania na fałszywej stronie.

Podpis cyfrowy może oznaczać także uprawnienie

Korzystając z aplikacji blockchainowych, nie musimy potwierdzać wyłącznie natychmiastowego przelewu. Niektóre tokeny wymagają, abyśmy najpierw pozwolili smart kontraktowi dysponować określoną ilością naszych tokenów. Takie uprawnienie, określane jako approval, może być zwykłym elementem zdecentralizowanej wymiany. Liczy się jednak to, komu je przyznajemy i jaki ma zakres.

Rozważmy modelową sytuację, w której chcemy wymienić tokeny o wartości pięćdziesięciu euro, ale aplikacja prosi o możliwość dysponowania znacznie większą ilością. Rozbieżność między zamierzoną transakcją a zakresem wymaganego uprawnienia jest powodem do sprawdzenia. Jeśli przyznamy szkodliwemu kontraktowi nieograniczone uprawnienie, możemy narazić także inne tokeny, których dotyczy zgoda. Nie oznacza to jednak automatycznie udostępnienia wszystkich aktywów we wszystkich blockchainach.

Trzeba również rozróżniać połączenie portfela, podpisanie wiadomości i zatwierdzenie konkretnego uprawnienia. Samo zwykłe połączenie portfela ze stroną zazwyczaj nie oznacza, że strona uzyskuje prawo do dysponowania naszymi środkami. Kolejny podpis może jednak mieć inny skutek, i to nawet wtedy, gdy za operację nie płacimy akurat opłaty sieciowej. Zamknięcie strony nie musi ponadto anulować wcześniej przyznanego uprawnienia do dysponowania tokenami. Odłączenie aplikacji i cofnięcie zgody to dwie różne czynności.

Wynika z tego przydatny nawyk: przed każdym potwierdzeniem sprawdzamy, czy żądana operacja odpowiada temu, co rzeczywiście chcieliśmy zrobić. Jeśli nie rozumiemy odbiorcy, kontraktu, kwoty lub zakresu zgody, nie potwierdzamy operacji. Starsze uprawnienia można w obsługiwanych sieciach sprawdzać i cofać za pomocą zweryfikowanych narzędzi. Również ich adres musimy jednak zweryfikować. Rzekoma usługa „czyszczenia portfela” może bowiem być kolejną oszukańczą pułapką.

Przy przelewie decydują adres i sieć

Adresy kryptowalutowe są długie, dlatego przy codziennym użytkowaniu często je kopiujemy. Właśnie w ten nawyk celuje atak określany jako address poisoning. Oszust umieszcza w historii transakcji adres podobny do tego, którego już używaliśmy, i liczy na to, że następnym razem go skopiujemy. Początek i koniec adresu mogą wyglądać znajomo, podczas gdy jego środkowa część jest inna, a adres w rzeczywistości należy do kogoś innego. Sama taka transakcja przychodząca nie oznacza przy tym, że doszło do wycieku naszych kluczy.

Adres pozyskujemy więc ze zweryfikowanego źródła odbiorcy i przed potwierdzeniem sprawdzamy go w całości. Historia transakcji nie powinna służyć jako automatycznie zaufana książka adresowa. W przypadku nowego odbiorcy pomocny może być próbny przelew niewielkiej kwoty i późniejsze sprawdzenie, czy dotarł. Trzeba jednak uwzględnić opłatę transakcyjną i ewentualną minimalną kwotę wymaganą do zaksięgowania wpłaty. Nawet udany test nie zastępuje przy tym kontroli danych przy kolejnym, większym przelewie.

Oprócz adresu muszą się zgadzać także aktywo i sieć blockchain. Niektóre tokeny istnieją w wielu sieciach, a usługa odbierająca nie musi obsługiwać wszystkich. Identycznie wyglądający adres sam w sobie nie gwarantuje więc prawidłowego dostarczenia środków. Przed wysłaniem zawsze czytamy aktualne instrukcje odbiorcy, w tym ewentualny dodatkowy identyfikator, na przykład memo lub tag. Błędnego przelewu może nie dać się naprawić, a ewentualne odzyskanie środków może podlegać dodatkowym warunkom.

Istotną część ochrony stanowi zatem kilka chwil poświęconych na sprawdzenie przed potwierdzeniem transakcji. Przy zwykłej płatności jesteśmy przyzwyczajeni do weryfikowania numeru konta i kwoty. W przypadku kryptowalut dodajemy do tego sieć, rodzaj aktywa i ewentualne dodatkowe wymagania.

Bezpieczeństwo wymaga także ochrony urządzeń i właściwych nawyków

Komputer, telefon i przeglądarka internetowa stanowią środowisko, w którym korzystamy z kont i portfeli. Regularne aktualizacje naprawiają znane luki w zabezpieczeniach, dlatego powinny być stałym elementem dbania o te urządzenia. Równie ważne jest unikanie instalowania nieznanych programów i zbędnych rozszerzeń przeglądarki. Aplikację portfela wyszukujemy za pośrednictwem zweryfikowanej strony jej twórcy i sprawdzamy jej rzeczywistego wydawcę.

Wyraźnym sygnałem ostrzegawczym jest niezamówiona oferta pomocy, która wymaga zdalnego dostępu do urządzenia. Osoba podająca się za doradcę inwestycyjnego może podczas rzekomego „ustawiania inwestycji” obserwować nasz ekran, nakłonić nas do potwierdzania płatności lub zdobyć inne wrażliwe dane. Czeska policja wielokrotnie ostrzega przed tą metodą w przypadku oszustw kryptowalutowych.

Przy bardziej aktywnym korzystaniu z kryptowalut można także oddzielić majątek przechowywany długoterminowo od środków przeznaczonych na wypróbowywanie poszczególnych aplikacji. Celem jest ograniczenie wartości aktywów narażonych na konkretny błąd. Taki podział musi jednak odpowiadać rzeczywistemu sposobowi zarządzania kluczami. Kolejne konto utworzone z tej samej ujawnionej frazy odzyskiwania nie rozwiązuje problemu jej przejęcia. Podobnie kilka portfeli na zainfekowanym komputerze nie musi stanowić niezależnej ochrony.

Gdy zysk istnieje tylko na ekranie

Część oszustw kryptowalutowych obywa się bez kradzieży hasła i ataku na portfel. Sprawca przekonuje człowieka, aby sam wysyłał pieniądze na rzekomą platformę inwestycyjną. W aplikacji ofiara obserwuje następnie rosnące saldo, które jednak może nie odpowiadać żadnym rzeczywistym aktywom. Gdy chce wypłacić pieniądze, pojawia się żądanie kolejnej płatności za odblokowanie konta, weryfikację tożsamości lub rzekomy podatek.

Wyobraźmy sobie, że wpłaciliśmy trzydzieści tysięcy koron, a po kilku tygodniach widzimy na koncie wartość sześćdziesięciu tysięcy. Sama liczba na ekranie nie wyjaśnia jednak, kto przechowuje aktywa ani czy można je rzeczywiście wypłacić. Nawet początkowa wypłata niewielkiej kwoty może być elementem budowania zaufania. Kolejna wpłata może więc jedynie pogłębić stratę, zamiast umożliwić uzyskanie obiecanego zysku.

Oceniając usługę, musimy więc znać jej rzeczywistego operatora, warunki i sposób postępowania ze środkami. Obietnica gwarantowanego wysokiego zysku, presja na szybką decyzję lub polecenie ukrywania inwestycji przed otoczeniem są powodem do ostrożności i dokładnego sprawdzenia oferty. Nawet bezpieczna obsługa portfela nie ochroni nas bowiem sama w sobie przed wysłaniem pieniędzy do oszukańczego projektu.

Jak reagować w przypadku podejrzenia ataku

Pierwsza reakcja zależy od tego, co faktycznie się wydarzyło. Przestajemy wykonywać polecenia podejrzanej osoby, a dalsze kroki podejmujemy wyłącznie za pośrednictwem zweryfikowanych kanałów. Jeśli podejrzewamy, że komputer został zainfekowany, zabezpieczamy konta z innego, zaufanego urządzenia. W przypadku zagrożonego konta zmieniamy dane dostępowe, sprawdzamy aktywne sesje i dostępne ustawienia bezpieczeństwa. Niezwłocznie kontaktujemy się także z dostawcą usługi i prosimy go o pomoc w ograniczeniu nieuprawnionego dostępu. Jeśli oszustwo dotyczy również przelewu bankowego lub karty płatniczej, zwracamy się także do banku.

W przypadku własnego portfela ważne jest rozróżnienie między szkodliwym uprawnieniem a wyciekiem kluczy. Podejrzaną zgodę może być konieczne cofnąć w odpowiedniej sieci. Jeśli jednak ktoś zdobył frazę odzyskiwania lub klucz prywatny, ani cofnięcie zgody, ani zmiana hasła do aplikacji nie odbierze mu dostępu. W takim przypadku należy przestać używać zagrożonego portfela, a ewentualne pozostałe środki bezpiecznie przenieść do nowego, niezależnie utworzonego portfela.

Nowy portfel oznacza w takiej sytuacji naprawdę nowe klucze i bezpieczną kopię zapasową utworzoną w zaufanym środowisku. Samo dodanie kolejnego konta pod tym samym seedem nie wystarczy. Konkretne postępowanie zależy jednak od sieci i sposobu ataku. Jeśli przychodzące środki natychmiast znikają, może za tym stać zautomatyzowany program atakującego. Dalsze wysyłanie kryptowaluty na opłaty transakcyjne może wtedy prowadzić jedynie do kolejnych strat. Taką sytuację rozwiązujemy więc zgodnie ze zweryfikowanymi instrukcjami wsparcia danego portfela.

Jednocześnie ważne jest zachowanie dowodów. Przydatne są adresy, identyfikatory transakcji, kwoty, godziny, adresy stron internetowych i cała komunikacja. Incydent zgłaszamy danej usłudze, a w razie podejrzenia przestępstwa także czeskiej policji. Publicznie możliwy do prześledzenia przepływ środków w blockchainie może pomóc w śledztwie, sam w sobie nie gwarantuje jednak ich odzyskania. Szczególna ostrożność jest wskazana także wobec osób, które później zgłaszają się z obietnicą „ratowania kryptowalut” za opłatą z góry. Przed podobnymi oszustwami następczymi ostrzega również FBI.

Bezpieczeństwo jako element codziennego użytkowania

Przed potwierdzeniem każdej operacji warto zadać sobie kilka prostych pytań:

• – Czy sami rozpoczęliśmy tę operację i czy jesteśmy w zweryfikowanej aplikacji lub na właściwej stronie?
• – Czy rozumiemy, co ma się stać z naszymi środkami?
• – Czy odbiorca, pełny adres, aktywo, sieć i kwota odpowiadają naszemu zamiarowi?
• – Czy przyznajemy tylko takie uprawnienie, jakiego potrzebuje zamierzona operacja?
• – Czy nasze klucze, fraza odzyskiwania i kody weryfikacyjne pozostają chronione?
• – Czy mamy bezpieczny i zrozumiały sposób odzyskania dostępu?

Podsumowanie

Kryptowaluty mogą dać człowiekowi większą kontrolę nad majątkiem cyfrowym. Z tą możliwością wiąże się jednak także odpowiedzialność za sposób, w jaki chroni on dostęp do swoich środków i weryfikuje poszczególne operacje. Ani bezpieczeństwo blockchainu, ani dobry portfel sprzętowy same w sobie nie rozwiążą problemu ujawnionej frazy odzyskiwania, przejętego konta czy szkodliwego uprawnienia, które sami zatwierdzimy.

Skuteczna ochrona polega zatem na połączeniu odpowiednich narzędzi i codziennych nawyków. Unikalne hasła, uwierzytelnianie wieloskładnikowe, bezpiecznie przechowywane kopie zapasowe i konsekwentne sprawdzanie transakcji pomagają ograniczać różne rodzaje ryzyka. Równie ważne jest jednak umieć się zatrzymać, jeśli jakieś żądanie nie ma dla nas sensu, i zweryfikować je niezależnie od osoby lub wiadomości, która nas do niego doprowadziła.

Zabezpieczenia muszą działać także w razie utraty telefonu, wymiany urządzenia lub odzyskiwania dostępu. Najlepsze rozwiązanie dla konkretnego użytkownika to więc takie, które rozumie i potrafi długoterminowo stosować. Poświęcenie czasu na jego właściwą konfigurację jest równie ważne jak decyzja o samym zakupie kryptowalut.

Ten tekst służy wyłącznie celom informacyjnym i edukacyjnym i nie stanowi porady inwestycyjnej. Kryptoaktywa są zmienne i możesz stracić całą zainwestowaną kwotę.