Dwa niedawne incydenty z udziałem użytkowników portfeli kryptowalutowych uwypukliły trwałą prawidłowość w dziedzinie bezpieczeństwa kryptowalut: portfel sprzętowy może pozostać technicznie niezhakowany, nawet gdy atakujący odchodzi ze środkami. W takich przypadkach słabym punktem rzadko jest samo urządzenie. Częściej jest nim osoba, która je posiada, połączone z nim oprogramowanie lub transakcja zatwierdzana za jego pośrednictwem.

Co incydenty revealają o bezpieczeństwie portfeli sprzętowych

Portfele sprzętowe przechowują klucze prywatne offline, fizycznie odseparowane od urządzeń połączonych z internetem. Taka konstrukcja chroni same klucze. Jednak jak relacjonuje CryptoSlate, portfel sprzętowy może pozostać bezpieczny, podczas gdy wszystko wokół niego zawodzi.

Niedawne incydenty wpisują się w schemat wielokrotnie obserwowany w bezpieczeństwie kryptowalut: urządzenie nie jest w ogóle dotykane. Zamiast tego atakujący celują w użytkownika, aplikację towarzyszącą lub moment, w którym transakcja jest przekazywana do zatwierdzenia. Portfel sprzętowy podpisuje każdą otrzymaną instrukcję. Jeśli ta instrukcja jest fałszywa, rezultat jest identyczny z bezpośrednią kradzieżą.

Ten schemat jest szczególnie istotny dla użytkowników, którzy wierzą, że posiadanie portfela sprzętowego eliminuje większość ich ryzyka. Istotnie ogranicza on jedną kategorię ryzyka — kradzież kluczy prywatnych — ale nie eliminuje ryzyka oszustwa. Ataki na łańcuch dostaw, w których złośliwi aktorzy manipulują sprzętem lub oprogramowaniem zanim trafią one do użytkownika, pozostają odrębną, ale pokrewną obawą, jak w relacji o operacji kradzieży kryptowalut o wartości 7 milionów dolarów wymierzonej w łańcuchy dostaw portfeli.

Dlaczego bezpie urządzenie nie gwarantuje bezpiecznej transakcji

Sednem problemu jest to, że portfel sprzętowy potwierdza to, co ma potwierdzić. Jeśli użytkownik zostanie oszukany i zatwierdzi transakcję opróżniającą jego środki, portfel działa dokładnie zgodnie z projektem. Klucze nigdy nie zostały skradzione; użytkownik sam autorzyzował transfer.

Atakujący wykorzystują kilka metod, aby osiągnąć ten cel. Amerykańska agencja Cybersecurity and Infrastructure Security Agency (CISA) wskazuje inżynierię społeczną jako główną technikę: manipulowanie człowiekiem w celu skłonienia go do podjęcia działania lub ujawnienia informacji, których w innym wypadku by nie ujawnił. W kontekście kryptowalut może to oznaczać fałszywego agenta wsparcia proszącego o frazę odzyskiwania, witrynę phishingową imitującą legalny interfejs portfela lub złośliwe zatwierdzenie tokenów ukryte w pozornie rutynowej transakcji.

Frazy odzyskiwania — sekwencje 12 lub 24 słów używane do przywrócenia portfela — to najbardziej wrażliwa informacja, jaką zarządza użytkownik portfela sprzętowego. Każdy, kto zdobędzie tę frazę, może odtworzyć portfel na dowolnym urządzeniu i przenieść środki bez fizycznego dostępu do oryginalnego sprzętu. Żadna funkcja bezpieczeństwa sprzętu nie chroni frazy odzyskiwania, którą użytkownik przekazuje dobrowolnie.

Zatwierdzenia tokenów stanowią subtelniejsze ryzyko. Gdy użytkownik wchodzi w interakcję ze zdecentralizowaną aplikacją — programem działającym na blockchainie, który wykonuje się automatycznie bez pośrednika — często proszeni są o zatwierdzenie dostępu aplikacji do swoich tokenów. Złośliwe zatwierdzenie może dać atakującemu nieograniczony dostęp do konkretnego aktywa. Portfel sprzętowy wyświetli monit o potwierdzenie, ale użytkownicy, którzy nie czytają go uważnie, mogą zatwierdzić bez zrozumienia, co podpisują.

Kroki zmniejszające ryzyko

Najbardziej bezpośrednią ochroną jest żelazna zasada dotycząca fraz odzyskiwania: nigdy nie wprowadzać ich na żadnej stronie internetowej, w aplikacji mobilnej, rozszerzeniu przeglądarki, czacie wsparcia ani żadnym formularzu online. Legalni producenci portfeli i zespoły wsparcia nigdy nie proszą o frazy odzyskiwania w żadnych okolicznościach. Każda taka prośba jest atakiem.

Przed podpisaniem jakiejkolwiek transakcji użytkownicy powinni zweryfikować szczegóły na własnym ekranie portfela sprzętowego, a nie tylko w interfejsie oprogramowania na podłączonym komputerze lub telefonie. Wyświetlacz portfela pokazuje rzeczywistą podpisywaną instrukcję. Jeśli szczegóły nie odpowiadają oczekiwaniom, transakcja powinna zostać odrzucona. Nieznane prośby o zatwierdzenie tokenów zasługują na szczególną uwagę.

Oprogramowanie używane razem z portfelem sprzętowym, w tym towarzyszące aplikacje desktopowe i rozszerzenia przeglądarki, powinno być pobierane wyłącznie z oficjalnych źrół. Aktualizacje oprogramowania układowego powinny pochodzić wyłącznie z oficjalnego procesu aktualizacji producenta. Podejście przyjęte przez producentów portfeli sprzętowych, takich jak BitBox, którzy unikają wymagania nowej frazy kopii zapasowej przy rozszerzonych funkcjach, odzwierciedla szerszą świadomość branżową, że ograniczenie ekspozycji frazy odzyskiwania jest samo w sobie poprawą bezpieczeństwa.

Adresy portfeli, kontakty wsparcia i linki do oprogramowania powinny być również niezależnie weryfikowane przed użyciem. Atakujący często rejestrują domeny i konta społecznościowe zaprojektowane tak, by wyglądały jak oficjalne kanały. Krótki krok potwierdzający — bezpośrednie sprawdzenie oficjalnej witryny producenta zamiast klikania linku z e-maila lub posta w mediach społecznościowych — eliminuje dużą kategorię ryzyka bez wymaganej wiedzy technicznej.

Portfele sprzętowe pozostają jednymi z najskuteczniejszych narzędzi dostępnych do ochrony zasobów kryptowalutowych, a ich ochrona jest rzeczywista i istotna. Jednak ochrona ta dotyczy klucza prywatnego, a nie decyzji podejmowanych wokół niego. Zachowanie w tych decyzjach rozwagi i sceptycyzmu to część, której żadne urządzenie nie wykona za użytkownika.

Zastrzeżenie: Ten artykuł ma wyłącznie charakter informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znacznym ryzykiem. Czytelnicy powinni przeprowadzić własne badania przed podjęciem decyzji.