Lösenordshanterare och krypto: vad du kan spara och vad du aldrig ska spara

En lösenordshanterare är ett bra ställe för dina lösenord till börser och e-post, men inte för seedfraser eller privata nycklar: de ska hållas offline, eftersom den som kommer över dem kontrollerar din krypto för alltid. Använd på rätt sätt gör en lösenordshanterare dina kryptokonton mycket säkrare; använd som ett valv för allt kan den bli en enskild felpunkt.

De flesta kryptostölder börjar med ett kapat konto eller en stulen hemlighet snarare än en knäckt blockkedja. Den här guiden förklarar hur angripare går efter lösenordsvalv och hemligheterna i dem, vad du ska spara och vad du ska hålla utanför, och vad du gör om något går fel.

Vad du kan spara och vad du aldrig ska spara

Grundprincipen: lösenordshanteraren skyddar åtkomsten till konton som har andra skyddsmekanismer (fördröjda uttag, 2FA, supportteam). En seedfras har inga skyddsmekanismer alls. Läs vad en seedfras är och hur återställningsfraser fungerar för att förstå varför.

Hur angripare går efter valv och hemligheter

Att förstå attackvägarna förklarar reglerna ovan:

1. 1Informationsstjälande skadeprogram. En falsk app, knäckt programvara eller ett skadligt webbläsartillägg kopierar webbläsardata, sparade lösenord och filer från din dator. Om ditt valv är upplåst, eller om din seedfras ligger i en anteckning, kan den tas på några sekunder.
2. 2Nätfiske efter huvudlösenordet. En falsk inloggningssida eller ett falskt mejl om en ”säkerhetsvarning för valvet” ber dig logga in i din lösenordshanterare.
3. 3Intrång hos leverantören. Företag bakom lösenordshanterare har drabbats av intrång där krypterad valvdata kopierades. Krypteringen skyddar dig bara så länge ditt huvudlösenord är tillräckligt starkt för att stå emot gissningar.
4. 4Kapning av urklipp. Skadeprogram bevakar ditt urklipp och byter ut en kopierad plånboksadress mot angriparens, eller fångar en seedfras som du kopierar.
5. 5Sökning efter nyckelord i valv. Väl inne i ett valv söker angripare efter ord som ”seed”, ”mnemonic”, ”wallet” eller ”private key”.

Ett hypotetiskt exempel

Följande är ett illustrativt sammansatt exempel, inte ett verkligt fall. Föreställ dig att Alex sparar allt i en enda lösenordshanterare, inklusive en anteckning med titeln ”MetaMask seed”. Alex installerar ett gratis tillägg för ”kryptokurser” som visar sig vara skadligt. Det fångar huvudlösenordet när Alex skriver det och exporterar valvet. Angriparen söker efter ”seed”, importerar plånboken och tömmer den inom en timme. Alex börskonto klarar sig bara för att uttag kräver en hårdvarusäkerhetsnyckel. Skillnaden mellan de två utfallen var var varje hemlighet förvarades.

Varningssignaler på att ditt valv eller dina konton är måltavlor

• Mejl som ber dig att ”verifiera” eller ”synka om” din lösenordshanterare eller ditt börskonto.
• Inloggningsaviseringar eller 2FA-förfrågningar som du inte har utlöst.
• Din lösenordshanterare vägrar att autofylla på en sajt som du tror är din börs.
• Nya webbläsartillägg som du inte minns att du har installerat.
• Oväntade mejl om lösenordsåterställning för ditt e-postkonto.

Så konfigurerar du en lösenordshanterare för krypto på ett säkert sätt

1. 1Välj en välrenommerad hanterare med en publicerad säkerhetsmodell och end-to-end-kryptering, och ladda bara ner den från den officiella webbplatsen eller appbutiken.
2. 2Skapa en stark huvudlösenfras av flera slumpmässiga ord som du inte använder någon annanstans, och skriv ner den för nödåterställning på en säker plats.
3. 3Aktivera stark tvåfaktorsautentisering för valvet, helst en hårdvarusäkerhetsnyckel eller en autentiseringsapp snarare än sms.
4. 4Generera unika lösenord för varje börs, e-postkonto och kryptotjänst. Prioritera e-posten, eftersom den kan återställa allt annat.
5. 5Använd autofyll som nätfiskekontroll. Om den inte erbjuder dina inloggningsuppgifter, granska webbadressen innan du skriver något.
6. 6Håll plånbokshemligheter utanför. Förvara seedfraser offline. Om du vill ha en påminnelse i valvet, skriv bara var en säkerhetskopia finns, inte vad den innehåller.
7. 7Lås valvet automatiskt efter en kort period av inaktivitet och när enheten går i viloläge.

För en bredare rutin, se vår guide om att skapa en stark säkerhetsrutin för krypto och säkerhet för e-postkonton för kryptoanvändare.

Vad du gör om ditt valv har komprometterats

1. 1Utgå från att varje hemlighet i valvet är röjd. Om en seedfras fanns där, flytta omedelbart tillgångarna till en ny plånbok med en ny seedfras; följ vad du ska göra direkt om din plånbok har komprometterats.
2. 2Byt lösenordet till din e-post först, sedan lösenorden till börserna, från en ren enhet.
3. 3Återställ tvåfaktorsautentiseringen och återkalla okända sessioner och API-nycklar på börserna.
4. 4Kontrollera vitlistorna för uttagsadresser efter adresser som du inte har lagt till.
5. 5Skanna eller installera om den drabbade enheten innan du använder den igen.
6. 6Rapportera nätfiskesajter och bedragares adresser till den berörda tjänsten och via vårt formulär för bedrägerirapporter.

Slutsats

En lösenordshanterare är ett av de bästa säkerhetsverktyg en kryptoanvändare kan ha, så länge den innehåller rätt saker. Använd den för unika kontolösenord och som nätfiskekontroll via autofyll, skydda den med en stark lösenfras och hårdvarubaserad tvåfaktorsautentisering, och förvara seedfraser och privata nycklar offline där skadeprogram och intrång inte når dem.