Менеджеры паролей и криптовалюта: что хранить, а что — никогда

Менеджер паролей — хорошее место для паролей от бирж и почты, но не для сид-фраз и приватных ключей: они должны оставаться офлайн, потому что тот, кто их получит, навсегда получит контроль над вашей криптовалютой. При правильном использовании менеджер паролей делает ваши криптоаккаунты намного безопаснее; если же превратить его в хранилище для всего подряд, он может стать единой точкой отказа.

Большинство краж криптовалюты начинается с захвата аккаунта или кражи секрета, а не со взлома блокчейна. В этом руководстве объясняется, как злоумышленники охотятся за хранилищами паролей и секретами в них, что в них хранить, а что держать вне их, и что делать, если что-то пошло не так.

Что хранить, а что — никогда

Главный принцип: менеджер паролей защищает доступ к аккаунтам, у которых есть и другие механизмы защиты (задержки вывода, 2FA, служба поддержки). У сид-фразы нет никакой защиты. Прочитайте, что такое сид-фраза и как работают фразы восстановления, чтобы понять почему.

Как злоумышленники охотятся за хранилищами и секретами

Понимание векторов атак объясняет приведённые выше правила:

1. 1Вредоносные программы-стилеры. Поддельное приложение, взломанная программа или вредоносное расширение браузера копирует данные браузера, сохранённые пароли и файлы с вашего компьютера. Если ваше хранилище разблокировано или сид-фраза лежит в заметке, её могут украсть за секунды.
2. 2Фишинг мастер-пароля. Поддельная страница входа или фальшивое письмо с «предупреждением о безопасности хранилища» просит вас войти в менеджер паролей.
3. 3Утечки у провайдера. Компании — разработчики менеджеров паролей уже сталкивались со взломами, при которых копировались зашифрованные данные хранилищ. Шифрование защищает вас лишь до тех пор, пока ваш мастер-пароль достаточно надёжен, чтобы выдержать попытки подбора.
4. 4Перехват буфера обмена. Вредоносная программа следит за буфером обмена и подменяет скопированный адрес кошелька адресом злоумышленника или перехватывает сид-фразу, которую вы копируете.
5. 5Поиск по ключевым словам в хранилищах. Попав в хранилище, злоумышленники ищут слова вроде «seed», «mnemonic», «wallet» или «private key».

Гипотетический пример

Ниже приведён собирательный пример для иллюстрации, а не реальный случай. Представьте, что Алекс хранит всё в одном менеджере паролей, включая заметку под названием «MetaMask seed». Алекс устанавливает бесплатное расширение для «отслеживания курсов криптовалют», которое оказывается вредоносным. Оно перехватывает мастер-пароль, пока Алекс его вводит, и экспортирует хранилище. Злоумышленник ищет «seed», импортирует кошелёк и опустошает его в течение часа. Аккаунт Алекса на бирже уцелел лишь потому, что для вывода требуется аппаратный ключ безопасности. Разница между двумя исходами определялась тем, где хранился каждый секрет.

Признаки того, что ваше хранилище или аккаунты атакуют

• Письма с просьбой «подтвердить» или «повторно синхронизировать» менеджер паролей или аккаунт на бирже.
• Уведомления о входе или запросы 2FA, которые вы не инициировали.
• Менеджер паролей отказывается автоматически заполнять данные на сайте, который вы считаете своей биржей.
• Новые расширения браузера, установку которых вы не помните.
• Неожиданные письма о сбросе пароля от вашего почтового аккаунта.

Как безопасно настроить менеджер паролей для криптовалюты

1. 1Выберите надёжный менеджер с опубликованной моделью безопасности и сквозным шифрованием и скачивайте его только с официального сайта или из магазина приложений.
2. 2Создайте надёжную мастер-парольную фразу из нескольких случайных слов, которую вы больше нигде не используете, и запишите её для экстренного восстановления, храня в надёжном месте.
3. 3Включите надёжную двухфакторную аутентификацию для хранилища — в идеале аппаратный ключ безопасности или приложение-аутентификатор, а не SMS.
4. 4Генерируйте уникальные пароли для каждой биржи, почтового аккаунта и криптосервиса. В приоритете — почта, потому что через неё можно сбросить всё остальное.
5. 5Используйте автозаполнение как проверку на фишинг. Если оно не предлагает ваши учётные данные, проверьте URL, прежде чем что-либо вводить.
6. 6Не храните там секреты кошельков. Держите сид-фразы офлайн. Если хотите оставить напоминание в хранилище, укажите только, где лежит резервная копия, но не её содержимое.
7. 7Настройте автоматическую блокировку хранилища после короткого простоя и при переходе устройства в спящий режим.

Более широкий набор привычек описан в нашем руководстве о том, как выстроить надёжную рутину криптобезопасности, и в статье о безопасности почтового аккаунта для пользователей криптовалют.

Что делать, если ваше хранилище скомпрометировано

1. 1Считайте, что каждый секрет в нём раскрыт. Если там хранилась сид-фраза, немедленно переведите средства в новый кошелёк с новой сид-фразой; следуйте руководству о том, что делать сразу, если ваш кошелёк скомпрометирован.
2. 2Сначала смените пароль от почты, затем пароли от бирж — с чистого устройства.
3. 3Сбросьте двухфакторную аутентификацию и отзовите неизвестные сессии и API-ключи на биржах.
4. 4Проверьте белые списки адресов для вывода на наличие адресов, которые вы не добавляли.
5. 5Просканируйте или переустановите систему на пострадавшем устройстве, прежде чем снова им пользоваться.
6. 6Сообщайте о фишинговых сайтах и мошеннических адресах соответствующему сервису и через нашу форму для сообщений о мошенничестве.

Итог

Менеджер паролей — один из лучших инструментов безопасности для пользователя криптовалют, если в нём хранится то, что нужно. Используйте его для уникальных паролей от аккаунтов и как проверку на фишинг с помощью автозаполнения, защитите его надёжной парольной фразой и аппаратной двухфакторной аутентификацией, а сид-фразы и приватные ключи держите офлайн, где до них не доберутся вредоносные программы и утечки.