امنیت کیف پول اتریوم؛ سه اشتباهی که گران تمام می شود

تیکت هایی که با «موجودی کیف پولم صفر شده» شروع می شوند، تقریبا هیچ وقت درباره شکستن رمزنگاری نیستند. در بیشتر موارد صاحب حساب خودش، یک جایی، چیزی را امضا کرده یا جایی نوشته که نباید.

و یک نکته که بد نیست از همین اول روشن باشد: کیف پول اتریوم پول شما را نگه نمی دارد. دارایی روی شبکه است و آنچه در کیف پول شماست فقط کلیدی است که اجازه جابه جا کردنش را می دهد. هر بحثی درباره امنیت، در واقع بحث درباره همان کلید و درباره امضاهایی است که با آن می زنید.

مجوز توکن، خطری که مخصوص اتریوم است

این را در راهنماهای عمومی امنیت نمی خوانید و دقیقا همان چیزی است که کیف پول اتریوم را از یک کیف پول بیت کوین متفاوت می کند.

برای اینکه یک قرارداد هوشمند بتواند توکن شما را جابه جا کند، شما باید از قبل به آن اجازه بدهید. این همان مرحله ای است که در صرافی های غیرمتمرکز به آن تایید می گویند و اغلب هم بی توجه رد می شود؛ خود استاندارد توکن ها این اجازه دادن را به عنوان یکی از کارکردهای پایه اش تعریف کرده است. مشکل اینجاست که خیلی از این مجوزها بدون سقف داده می شوند و مدت دار هم نیستند: قرارداد از آن به بعد، هر وقت بخواهد، می تواند آن توکن را از حساب شما بردارد.

یعنی ممکن است ماه ها پیش با یک سایت کار کرده باشید، امروز آن قرارداد آسیب پذیر از آب در بیاید و توکنتان برود؛ بدون اینکه امروز کاری کرده باشید. مستندات رسمی اتریوم هم همین را توصیه می کند: سقف خرج کردن را به همان مقداری که لازم است محدود کنید و مجوزهای قدیمی را باطل کنید.

کار عملی اش ساده است. هر چند وقت یک بار فهرست مجوزهای فعال حسابتان را مرور کنید و هر چیزی را که دیگر استفاده نمی کنید باطل کنید. باطل کردن خودش یک تراکنش است و کارمزد دارد؛ ولی از دست دادن کل موجودی یک توکن گران تر است. سمت قرارداد این ماجرا را در امنیت قرارداد هوشمند جدا باز کرده ایم.

عبارت بازیابی: قاعده ای که استثنا ندارد

عبارت بازیابی کلید اصلی همه حساب های شماست. هر کسی آن را داشته باشد، به همه دارایی هایتان دسترسی دارد و هیچ راهی برای برگرداندنش نیست.

سه اشتباهی که واقعا تکرار می شود:

• ذخیره در فضای ابری، گالری عکس یا یادداشت های همگام شونده. اگر حساب ایمیلتان لو برود، کیف پولتان هم رفته. عکس گرفتن از عبارت بازیابی بدترین حالت این اشتباه است.
• فرستادن برای خود در یک پیام رسان، حتی در چت با خودتان.
• وارد کردنش در سایتی که ادعا می کند کیف پول را «بازیابی» یا «همگام» می کند. هیچ سرویس معتبری هیچ وقت عبارت بازیابی نمی خواهد و مستندات اتریوم هم همین را صریح می گوید.

جای درستش کاغذ است یا فلز، در بیش از یک مکان فیزیکی، بدون اینکه رویش نوشته شده باشد این چیست. و یک نکته که کمتر گفته می شود: بعد از نوشتن، بازیابی را یک بار با مبلغ ناچیز امتحان کنید. عبارت بازیابی اشتباه نوشته شده، تا روزی که به آن نیاز پیدا کنید خودش را نشان نمی دهد.

کلاهبرداری هایی که واقعا جواب می دهند

مهاجم امروز دنبال شکستن رمز نیست. دنبال این است که شما خودتان چیزی را امضا کنید.

ایردراپ ناخواسته. توکنی که خودش در کیف پول شما ظاهر می شود و برای «برداشتش» به سایتی می فرستدتان. آنجا از شما امضا می خواهند و همان امضا حساب را در اختیار مهاجم می گذارد. مستندات اتریوم این را جزو رایج ترین الگوها آورده. قاعده: به توکنی که نخریده اید دست نزنید.

مسموم کردن آدرس. مهاجم تراکنشی بی ارزش از آدرسی می فرستد که چند کاراکتر اولش و چند کاراکتر آخرش شبیه آدرس واقعی شماست. دفعه بعد که از تاریخچه کپی می کنید، آدرس او را بر می دارید. به همین دلیل بررسی فقط ابتدا و انتهای آدرس کافی نیست؛ وسطش را هم باید نگاه کرد.

پشتیبان قلابی. در گروه ها و کانال ها، کسی که خودش را پشتیبانی معرفی می کند و برای «حل مشکل» عبارت بازیابی یا اشتراک صفحه می خواهد. هیچ پشتیبانی واقعی هیچ وقت این دو را نمی خواهد.

دو تله ای که مخصوص کاربر ایرانی است

اینها را در هیچ راهنمای ترجمه شده ای پیدا نمی کنید، چون نویسنده اصلی با آنها روبه رو نبوده.

اول، محل دانلود. دسترسی به فروشگاه های رسمی اپلیکیشن از ایران همیشه ساده نیست و نتیجه اش این است که خیلی ها کیف پول را از سایت های دانلود فارسی یا از فایلی که در یک کانال دست به دست شده نصب می کنند. نسخه دستکاری شده یک کیف پول، دقیقا مثل نسخه اصلی به نظر می رسد و تفاوتش را وقتی می فهمید که موجودی رفته باشد. اگر مجبورید از مسیر غیرمستقیم نصب کنید، دست کم مبلغ قابل توجه را روی آن نگه ندارید.

دوم، ناپایداری اتصال. وقتی تراکنشی ارسال می شود و صفحه بالا نمی آید، واکنش طبیعی این است که دوباره بفرستید. این کار در بهترین حالت کارمزد اضافه است و در بدترین حالت دو انتقال. قبل از ارسال دوباره، همان تراکنش را در یک کاوشگر بلاکچین بررسی کنید.

و یک نکته پرتکرار که امنیتی نیست ولی هزینه دارد: برای جابه جا کردن هر توکنی روی شبکه اتریوم، به مقداری اتریوم در همان کیف پول نیاز دارید. کاربری که فقط توکن دارد و اتریوم ندارد، دارایی اش قفل نشده ولی تا وقتی کارمزد تامین نشود تکان هم نمی خورد.

اگر شک کردید حساب لو رفته، ترتیب کارها مهم است

در این وضعیت آدم ها معمولا اول دنبال پشتیبانی می گردند و همین یک ساعت را از دست می دهند. ترتیب درست این است.

اگر عبارت بازیابی جایی وارد شده یا احتمال می دهید لو رفته باشد، آن حساب دیگر قابل نجات نیست. کیف پول تازه با عبارت بازیابی تازه بسازید و هر چه می شود را به آن منتقل کنید. عوض کردن رمز عبور یا پین کیف پول هیچ کاری نمی کند، چون آن رمز فقط قفل نرم افزار روی همان دستگاه است و ربطی به کلید ندارد.

اگر عبارت بازیابی سالم است و مشکل از یک امضای مشکوک می آید، اول مجوزهای فعال را باطل کنید و بعد دارایی را جابه جا کنید. ترتیب برعکس اغلب جواب نمی دهد: قراردادی که مجوز دارد، می تواند همان توکن را دوباره بردارد.

و آخرین نکته، که تلخ است ولی گفتنش لازم است: هیچ سرویسی، هیچ صرافی و هیچ پشتیبانی نمی تواند تراکنش انجام شده را برگرداند. کسانی که در همین لحظه پیدایشان می شود و ادعا می کنند دارایی از دست رفته را «بازیابی» می کنند، موج دوم همان کلاهبرداری اند.

کی سراغ کیف پول سخت افزاری برویم

جواب صادقانه: نه همیشه.

کیف پول سخت افزاری یک کار مشخص می کند و آن هم این است که کلید خصوصی هیچ وقت از دستگاه بیرون نمی آید. این جلوی بدافزار روی رایانه شما را می گیرد. چیزی که جلویش را نمی گیرد، امضای اشتباه خود شماست: اگر پای یک قرارداد بد را امضا کنید، دستگاه هم همان را امضا می کند.

پس منطق ساده است. اگر مبلغی که نگه می دارید در حدی است که از دست دادنش برنامه زندگی تان را عوض می کند، ارزشش را دارد. اگر نه، وقتتان را صرف رعایت همان چند قاعده بالا کنید که اثر بیشتری دارد. معیارهای انتخاب و مسیر تهیه اش را در کیف پول سخت افزاری، معیارها و مسیر تهیه نوشته ایم، و تصویر کلی تر اینکه پول کاربران واقعا از کجا می رود را در راه های محافظت از دارایی دیجیتال.

اگر هم تازه شروع کرده اید، ساده ترین مسیر این است که خرید را از خرید اتریوم برای شروع انجام دهید و تا وقتی با کیف پول شخصی راحت نشده اید، مبلغ بزرگ به آن منتقل نکنید.

سوال های پرتکرار