Menedżery haseł a krypto: co przechowywać, a czego nigdy

Menedżer haseł to dobre miejsce na hasła do giełd i poczty, ale nie na frazy seed ani klucze prywatne: one powinny pozostać offline, bo każdy, kto je zdobędzie, na zawsze przejmuje kontrolę nad twoimi kryptowalutami. Używany prawidłowo, menedżer haseł znacznie zwiększa bezpieczeństwo twoich kont krypto; używany jako schowek na wszystko, może stać się pojedynczym punktem awarii.

Większość kradzieży kryptowalut zaczyna się od przejęcia konta lub kradzieży sekretu, a nie od złamania blockchaina. Ten poradnik wyjaśnia, jak atakujący biorą na cel sejfy z hasłami i przechowywane w nich sekrety, co w nich trzymać, a czego nie, oraz co robić, gdy coś pójdzie nie tak.

Co przechowywać, a czego nigdy

Zasada przewodnia: menedżer haseł chroni dostęp do kont, które mają inne zabezpieczenia (opóźnienia wypłat, 2FA, zespoły wsparcia). Fraza seed nie ma żadnych zabezpieczeń. Przeczytaj, czym jest fraza seed i jak działają frazy odzyskiwania, aby zrozumieć dlaczego.

Jak atakujący biorą na cel sejfy i sekrety

Zrozumienie ścieżek ataku wyjaśnia powyższe zasady:

1. 1Złośliwe oprogramowanie typu infostealer. Fałszywa aplikacja, scrackowane oprogramowanie lub złośliwe rozszerzenie przeglądarki kopiuje dane przeglądarki, zapisane hasła i pliki z twojego komputera. Jeśli twój sejf jest odblokowany albo fraza seed leży w notatce, może zostać przechwycona w kilka sekund.
2. 2Phishing hasła głównego. Fałszywa strona logowania lub fałszywy e-mail z „alertem bezpieczeństwa sejfu” prosi cię o zalogowanie się do menedżera haseł.
3. 3Wycieki u dostawcy. Firmy oferujące menedżery haseł padały ofiarą włamań, podczas których kopiowano zaszyfrowane dane sejfów. Szyfrowanie chroni cię tylko dopóty, dopóki twoje hasło główne jest na tyle silne, by oprzeć się próbom odgadnięcia.
4. 4Przejmowanie schowka. Złośliwe oprogramowanie obserwuje twój schowek i podmienia skopiowany adres portfela na adres atakującego albo przechwytuje kopiowaną frazę seed.
5. 5Przeszukiwanie sejfów pod kątem słów kluczowych. Po dostaniu się do sejfu atakujący szukają słów takich jak „seed”, „mnemonic”, „wallet” czy „private key”.

Hipotetyczny przykład

Poniższy przykład jest ilustracyjnym połączeniem kilku scenariuszy, a nie prawdziwym przypadkiem. Wyobraź sobie, że Alex przechowuje wszystko w jednym menedżerze haseł, w tym notatkę zatytułowaną „MetaMask seed”. Alex instaluje darmowe rozszerzenie do „śledzenia cen krypto”, które okazuje się złośliwe. Przechwytuje ono hasło główne podczas wpisywania i eksportuje sejf. Atakujący wyszukuje „seed”, importuje portfel i opróżnia go w ciągu godziny. Konto Alexa na giełdzie ocalało tylko dlatego, że wypłaty wymagają sprzętowego klucza bezpieczeństwa. Różnica między tymi dwoma wynikami polegała na tym, gdzie przechowywany był każdy z sekretów.

Sygnały ostrzegawcze, że twój sejf lub konta są celem ataku

• E-maile z prośbą o „weryfikację” lub „ponowną synchronizację” menedżera haseł albo konta na giełdzie.
• Powiadomienia o logowaniu lub prośby 2FA, których sam nie wywołałeś.
• Menedżer haseł odmawia autouzupełniania na stronie, którą uważasz za swoją giełdę.
• Nowe rozszerzenia przeglądarki, których instalacji nie pamiętasz.
• Niespodziewane e-maile o resetowaniu hasła do twojego konta e-mail.

Jak bezpiecznie skonfigurować menedżer haseł do krypto

1. 1Wybierz renomowany menedżer z opublikowanym modelem bezpieczeństwa i szyfrowaniem end-to-end, pobrany wyłącznie z oficjalnej strony lub sklepu z aplikacjami.
2. 2Utwórz silne główne hasło-frazę z kilku losowych słów, których nie używasz nigdzie indziej, i zapisz je na potrzeby awaryjnego odzyskania w bezpiecznym miejscu.
3. 3Włącz silne uwierzytelnianie dwuskładnikowe dla sejfu, najlepiej sprzętowy klucz bezpieczeństwa lub aplikację uwierzytelniającą zamiast SMS.
4. 4Generuj unikalne hasła do każdej giełdy, konta e-mail i usługi krypto. Priorytetem niech będzie poczta, bo przez nią można zresetować wszystko inne.
5. 5Traktuj autouzupełnianie jako test na phishing. Jeśli nie proponuje twoich danych logowania, sprawdź adres URL, zanim cokolwiek wpiszesz.
6. 6Nie trzymaj tam sekretów portfeli. Przechowuj frazy seed offline. Jeśli chcesz mieć przypomnienie w sejfie, zapisz tylko, gdzie leży kopia zapasowa, a nie co zawiera.
7. 7Automatycznie blokuj sejf po krótkim czasie bezczynności i gdy urządzenie przechodzi w uśpienie.

Szerszą rutynę opisujemy w poradniku o tym, jak stworzyć solidną rutynę bezpieczeństwa krypto, oraz w tekście o bezpieczeństwie konta e-mail dla użytkowników krypto.

Co zrobić, jeśli twój sejf został przejęty

1. 1Załóż, że każdy sekret w nim jest ujawniony. Jeśli była tam fraza seed, natychmiast przenieś środki do nowego portfela z nową frazą seed; postępuj zgodnie z poradnikiem co zrobić natychmiast, gdy twój portfel zostanie przejęty.
2. 2Najpierw zmień hasło do poczty, potem hasła do giełd, korzystając z czystego urządzenia.
3. 3Zresetuj uwierzytelnianie dwuskładnikowe i unieważnij nieznane sesje oraz klucze API na giełdach.
4. 4Sprawdź białe listy adresów wypłat pod kątem adresów, których nie dodałeś.
5. 5Przeskanuj lub zainstaluj ponownie system na zaatakowanym urządzeniu, zanim znów go użyjesz.
6. 6Zgłaszaj strony phishingowe i adresy oszustów odpowiedniej usłudze oraz przez nasz formularz zgłaszania oszustw.

Podsumowanie

Menedżer haseł to jedno z najlepszych narzędzi bezpieczeństwa, jakie może mieć użytkownik krypto, o ile przechowuje właściwe rzeczy. Używaj go do unikalnych haseł do kont i jako testu na phishing dzięki autouzupełnianiu, chroń go silnym hasłem-frazą i sprzętowym uwierzytelnianiem dwuskładnikowym, a frazy seed i klucze prywatne trzymaj offline, tam gdzie nie dosięgnie ich złośliwe oprogramowanie ani wycieki.