Менеджери паролів і криптовалюта: що зберігати, а що — ніколи

Менеджер паролів — гарне місце для паролів від бірж і пошти, але не для сид-фраз і приватних ключів: вони мають залишатися офлайн, бо той, хто їх отримає, назавжди контролюватиме вашу криптовалюту. За правильного використання менеджер паролів робить ваші криптоакаунти значно безпечнішими; якщо ж перетворити його на сховище для всього підряд, він може стати єдиною точкою відмови.

Більшість крадіжок криптовалюти починається із захоплення акаунта або викрадення секрету, а не зі зламу блокчейну. У цьому посібнику пояснюємо, як зловмисники полюють на сховища паролів і секрети в них, що в них зберігати, а що тримати поза ними, і що робити, якщо щось пішло не так.

Що зберігати, а що — ніколи

Головний принцип: менеджер паролів захищає доступ до акаунтів, які мають й інші механізми захисту (затримки виведення, 2FA, служба підтримки). Сид-фраза не має жодного захисту. Прочитайте, що таке сид-фраза і як працюють фрази відновлення, щоб зрозуміти чому.

Як зловмисники полюють на сховища та секрети

Розуміння векторів атак пояснює наведені вище правила:

1. 1Шкідливі програми-стилери. Підроблений застосунок, зламана програма чи шкідливе розширення браузера копіює дані браузера, збережені паролі та файли з вашого комп’ютера. Якщо ваше сховище розблоковане або сид-фраза лежить у нотатці, її можуть викрасти за лічені секунди.
2. 2Фішинг майстер-пароля. Підроблена сторінка входу або фальшивий лист із «попередженням про безпеку сховища» просить вас увійти в менеджер паролів.
3. 3Витоки в постачальника. Компанії — розробники менеджерів паролів уже зазнавали зламів, під час яких копіювалися зашифровані дані сховищ. Шифрування захищає вас лише доти, доки ваш майстер-пароль достатньо надійний, щоб витримати спроби підбору.
4. 4Перехоплення буфера обміну. Шкідлива програма стежить за буфером обміну й підмінює скопійовану адресу гаманця адресою зловмисника або перехоплює сид-фразу, яку ви копіюєте.
5. 5Пошук за ключовими словами у сховищах. Потрапивши до сховища, зловмисники шукають слова на кшталт «seed», «mnemonic», «wallet» або «private key».

Гіпотетичний приклад

Нижче наведено збірний приклад для ілюстрації, а не реальний випадок. Уявіть, що Алекс зберігає все в одному менеджері паролів, зокрема нотатку з назвою «MetaMask seed». Алекс установлює безкоштовне розширення для «відстеження курсів криптовалют», яке виявляється шкідливим. Воно перехоплює майстер-пароль, поки Алекс його вводить, і експортує сховище. Зловмисник шукає «seed», імпортує гаманець і спустошує його протягом години. Акаунт Алекса на біржі вцілів лише тому, що для виведення потрібен апаратний ключ безпеки. Різниця між двома результатами полягала в тому, де зберігався кожен секрет.

Ознаки того, що ваше сховище або акаунти атакують

• Листи з проханням «підтвердити» або «повторно синхронізувати» менеджер паролів чи акаунт на біржі.
• Сповіщення про вхід або запити 2FA, які ви не ініціювали.
• Менеджер паролів відмовляється автоматично заповнювати дані на сайті, який ви вважаєте своєю біржею.
• Нові розширення браузера, встановлення яких ви не пам’ятаєте.
• Неочікувані листи про скидання пароля від вашого поштового акаунта.

Як безпечно налаштувати менеджер паролів для криптовалюти

1. 1Оберіть надійний менеджер з опублікованою моделлю безпеки та наскрізним шифруванням і завантажуйте його лише з офіційного сайту чи магазину застосунків.
2. 2Створіть надійну майстер-парольну фразу з кількох випадкових слів, яку більше ніде не використовуєте, і запишіть її для екстреного відновлення, зберігаючи в надійному місці.
3. 3Увімкніть надійну двофакторну автентифікацію для сховища — в ідеалі апаратний ключ безпеки або застосунок-автентифікатор, а не SMS.
4. 4Генеруйте унікальні паролі для кожної біржі, поштового акаунта та криптосервісу. У пріоритеті — пошта, бо через неї можна скинути все інше.
5. 5Використовуйте автозаповнення як перевірку на фішинг. Якщо воно не пропонує ваші облікові дані, перевірте URL, перш ніж щось вводити.
6. 6Не тримайте там секретів гаманців. Зберігайте сид-фрази офлайн. Якщо хочете залишити нагадування у сховищі, вкажіть лише, де лежить резервна копія, а не її вміст.
7. 7Налаштуйте автоматичне блокування сховища після короткого простою та під час переходу пристрою в режим сну.

Ширший набір звичок описано в нашому посібнику про те, як вибудувати надійну рутину криптобезпеки, і в статті про безпеку поштового акаунта для користувачів криптовалют.

Що робити, якщо ваше сховище скомпрометовано

1. 1Вважайте, що кожен секрет у ньому розкрито. Якщо там зберігалася сид-фраза, негайно перемістіть кошти в новий гаманець із новою сид-фразою; дотримуйтеся посібника про те, що робити негайно, якщо ваш гаманець скомпрометовано.
2. 2Спершу змініть пароль від пошти, потім паролі від бірж — із чистого пристрою.
3. 3Скиньте двофакторну автентифікацію та відкличте невідомі сесії й API-ключі на біржах.
4. 4Перевірте білі списки адрес для виведення на наявність адрес, яких ви не додавали.
5. 5Проскануйте або перевстановіть систему на ураженому пристрої, перш ніж знову ним користуватися.
6. 6Повідомляйте про фішингові сайти та шахрайські адреси відповідному сервісу та через нашу форму для повідомлень про шахрайство.

Підсумок

Менеджер паролів — один із найкращих інструментів безпеки для користувача криптовалют, якщо в ньому зберігається те, що треба. Використовуйте його для унікальних паролів від акаунтів і як перевірку на фішинг за допомогою автозаповнення, захистіть його надійною парольною фразою та апаратною двофакторною автентифікацією, а сид-фрази й приватні ключі тримайте офлайн, де до них не дістануться шкідливі програми та витоки.