Kybernetická bezpečnosť vo svete kryptomien

Správa o podozrivom prihlásení, falošná zákaznícka podpora alebo škodlivý odkaz môžu v priebehu chvíle ohroziť naše kryptomeny. Útočník pritom nemusí prelomiť blockchain ani získať privátny kľúč. Niekedy stačí, keď nás presvedčí, aby sme sami prezradili prístupové údaje, odoslali prostriedky alebo schválili nebezpečnú operáciu.

Bezpečnosť kryptomien preto nespočíva iba vo výbere peňaženky. Rovnako dôležité je chrániť účty, zariadenia a zálohy a rozumieť tomu, čo pri používaní kryptomien potvrdzujeme.

Bezpečnosť blockchainu a našich prostriedkov

Odcudzenie kryptomien nemusí znamenať prelomenie samotnej blockchainovej siete. Príčinou môže byť napadnutý účet u poskytovateľa, prezradená obnovovacia fráza alebo škodlivá aplikácia. Každé z týchto rizík si vyžaduje iný spôsob ochrany.

Pri úschove kryptomien u poskytovateľa sa spoliehame aj na jeho zabezpečenie. Pri vlastnej peňaženke naopak sami zodpovedáme za kľúče a ich zálohy. Vhodné riešenie je také, ktorému rozumieme a ktoré dokážeme bezpečne používať aj obnoviť.

Phishing: keď sa podvodník vydáva za pomoc

Phishing je podvod, pri ktorom útočník napodobňuje dôveryhodnú službu alebo osobu. Môže poslať falošný e-mail o zablokovaní účtu, vyžadovať overovací kód alebo nás vyzvať na prevod kryptomien do údajne bezpečnej peňaženky.

Podozrivú správu neoverujeme cez odkaz, ktorý obsahuje. Namiesto toho otvoríme službu vlastnou cestou a prípadne kontaktujeme oficiálnu podporu. Nikomu neprezrádzame obnovovaciu frázu ani overovacie kódy. Vierohodné logo, bezchybný text či zabezpečené spojenie HTTPS samy osebe dôveryhodnosť webu nezaručujú.

Heslá, e-mail a viacfaktorové overovanie

E-mailová schránka je dôležitou súčasťou zabezpečenia, pretože cez ňu často obnovujeme prístup k ďalším účtom. Pre každú významnú službu by sme preto mali používať dlhé, jedinečné heslo; pomôcť môže správca hesiel.

Ďalšiu ochranu ponúka viacfaktorové overovanie. Overovacia aplikácia býva bezpečnejšia než SMS, ale ani jej kód nesmieme zadať na podvodnej stránke. Ak služba podporuje passkeys alebo bezpečnostné kľúče FIDO, môžu poskytovať vyššiu odolnosť voči phishingu. Dôležité je mať aj bezpečne uložené záložné kódy na obnovu prístupu.

Obnovovacia fráza a hardvérová peňaženka

Obnovovacia fráza (seed) nie je bežné heslo. Pri mnohých peňaženkách umožňuje znovu odvodiť kľúče a obnoviť prístup k prostriedkom. Kto ju získa, môže peňaženku za určitých podmienok ovládať aj bez pôvodného zariadenia. Preto ju neukladáme ako fotografiu v telefóne ani do nechráneného cloudového dokumentu. Záloha musí byť bezpečná, ale zároveň dostupná pre prípad obnovy.

Hardvérová peňaženka chráni privátne kľúče tým, že podpisuje operácie vnútri zariadenia. Nezabráni však strate, ak sami potvrdíme prevod útočníkovi alebo nebezpečné oprávnenie. Pred potvrdením vždy kontrolujeme, čo zariadenie skutočne zobrazuje.

Pozor na podpisy a oprávnenia aplikácií

Pri používaní decentralizovaných aplikácií môžeme schvaľovať nielen prevody, ale aj oprávnenia smart kontraktov nakladať s našimi tokenmi. Ak udelíme príliš široké oprávnenie škodlivému kontraktu, môžu byť ohrozené aj ďalšie tokeny, na ktoré sa súhlas vzťahuje.

Pripojenie peňaženky k webu, podpis správy a udelenie oprávnenia nie sú to isté. Zatvorenie stránky navyše nemusí skôr udelený súhlas zrušiť. Ak požadovanej operácii nerozumieme, nepotvrdzujeme ju; staršie oprávnenia možno pri podporovaných sieťach kontrolovať a odvolávať pomocou overených nástrojov.

Pri prevode kontrolujeme adresu aj sieť

Útočníci môžu do histórie transakcií podstrčiť adresu podobnú tej, ktorú sme predtým používali. Tento postup sa označuje ako address poisoning. Adresu príjemcu preto získavame z overeného zdroja a pred odoslaním ju kontrolujeme celú.

Rovnako dôležité je overiť kryptomenu, blockchainovú sieť a prípadné ďalšie údaje, napríklad memo alebo tag. Chybný prevod nemusí byť možné vrátiť. Pri novom príjemcovi môže pomôcť skúšobná transakcia malej sumy, ani tá však nenahrádza kontrolu následného prevodu.

Podvodné investičné platformy a ochrana zariadení

Nie všetky podvody vyžadujú krádež hesla. Falošná investičná platforma môže zobrazovať vymyslené zisky a pri pokuse o výber požadovať ďalšie platby za údajnú daň či odblokovanie účtu. Varovaním sú sľuby zaručených vysokých výnosov, nátlak na rýchle rozhodnutie a nevyžiadané ponuky pomoci.

Riziko znižujú aj aktualizácie telefónu a počítača, inštalácia aplikácií z overených zdrojov a odmietanie nevyžiadaného vzdialeného prístupu k zariadeniu. Pri častejšom používaní blockchainových aplikácií môže byť rozumné oddeliť dlhodobo držané aktíva od prostriedkov určených na experimentovanie.

Čo robiť pri podozrení na napadnutie

Prestaneme reagovať na podozrivú osobu a službu kontaktujeme výhradne overeným kanálom. Pri ohrozenom účte zmeníme heslo z dôveryhodného zariadenia, skontrolujeme prihlásenia a upozorníme poskytovateľa. Ak podvod súvisí s bankovou platbou, kontaktujeme aj banku.

Pri vlastnej peňaženke záleží na príčine. Škodlivé oprávnenie môže byť potrebné odvolať, ale pri úniku privátneho kľúča alebo seedu je nutné prejsť na novú peňaženku s nezávisle vytvorenými kľúčmi a prípadné zostávajúce prostriedky bezpečne presunúť. Uchováme komunikáciu a identifikátory transakcií a podozrenie na trestný čin oznámime Polícii ČR. Pozor aj na podvodníkov sľubujúcich vrátenie kryptomien za poplatok vopred.

Záver

Bezpečnosť kryptomien je kombináciou vhodných technológií a každodenných návykov. Silné heslá, viacfaktorové overovanie, bezpečné zálohy a kontrola transakcií pomáhajú obmedziť riziká, ale žiadny nástroj nedokáže nahradiť naše vlastné rozhodovanie.

Pred každým potvrdením by sme mali vedieť, komu a čo odosielame, akú sieť používame a aké oprávnenia udeľujeme. Ak požiadavke nerozumieme, je bezpečnejšie operáciu zastaviť a nezávisle ju overiť.

Tento text slúži len na informačné a vzdelávacie účely a nepredstavuje investičné poradenstvo. Kryptoaktíva sú volatilné a môžete prísť o celú investovanú sumu.