Οδηγός · Κίνδυνος πορτοφολιού · · Stefan Tsezarov · ενημέρωση
Οι δώδεκα λέξεις
Το ακριβότερο μήνυμα στα κρυπτονομίσματα, αποσυναρμολογημένο γραμμή προς γραμμή.
Το μήνυμα φτάνει ευγενικό.
Το λογότυπο ταιριάζει.
Ο σύνδεσμος ανοίγει μια σελίδα που μοιάζει ακριβώς με το πορτοφόλι που ήδη χρησιμοποιείς — τα ίδια χρώματα, η ίδια γραμματοσειρά, η ίδια διακριτική εικόνα στη γωνία.
Σου ζητά, ήρεμα, να επιβεβαιώσεις τη φράση ανάκτησής σου ώστε να αποκατασταθεί η πρόσβαση.
Δεν υπάρχει καμία περίπτωση όπου αυτό το αίτημα είναι νόμιμο.
Ούτε υποστήριξη. Ούτε μετάβαση. Ούτε airdrop. Ούτε έλεγχος ασφαλείας. Ούτε επιστροφή χρημάτων. Ούτε επικύρωση.
Ούτε μία φορά. Ποτέ. Από κανέναν.
Αυτό είναι, στην ουσία, ολόκληρο το άρθρο. Όλα όσα ακολουθούν απλώς εξηγούν γιατί το αίτημα εξακολουθεί να πετυχαίνει τόσο συχνά.
1. Τι είναι πραγματικά οι δώδεκα λέξεις
Οι περισσότεροι αντιμετωπίζουν τη φράση ανάκτησης σαν κωδικό. Αυτό το ένα λάθος κατηγορίας είναι η ρίζα σχεδόν κάθε καταστροφής που ακολουθεί.
Ένας κωδικός προστατεύει έναν λογαριασμό που κρατά ήδη κάποιος άλλος. Χάνεις τον κωδικό και τον επαναφέρεις. Ο λογαριασμός επιβιώνει.
Η φράση ανάκτησης είναι διαφορετική.
Είναι ο κύριος αριθμός από τον οποίο παράγεται καθένα από τα ιδιωτικά σου κλειδιά. Το πορτοφόλι σου παίρνει αυτές τις δώδεκα (ή είκοσι τέσσερις) λέξεις, τις μετατρέπει σε έναν τεράστιο ακέραιο και παράγει από αυτόν κάθε διεύθυνση που θα ελέγξεις ποτέ σε κάθε δίκτυο που υποστηρίζει το πορτοφόλι — ακόμη και σε δίκτυα που δεν έχεις χρησιμοποιήσει ακόμη.
Η φράση δεν είναι κλειδί για μια πόρτα.
Είναι το υλικό από το οποίο φτιάχνονται οι ίδιες οι πόρτες.
2. Γιατί κανείς νόμιμος δεν τη ζητά ποτέ
Η υποστήριξη δεν μπορεί να τη χρησιμοποιήσει. Ένας πάροχος πορτοφολιού δεν κρατά ποτέ τα κεφάλαιά σου και επομένως δεν μπορεί να τα μετακινήσει για λογαριασμό σου· έτσι είναι σχεδιασμένο. Αν έδινες τη φράση σου σε έναν εκπρόσωπο υποστήριξης, θα του έδινες πλήρη έλεγχο των χρημάτων σου. Καμία σοβαρή εταιρεία δεν επιτρέπει τέτοιο αίτημα.
Μια μετάβαση δεν μπορεί να την απαιτήσει. Η μετάβαση σε νέο συμβόλαιο ή σε νέα έκδοση εφαρμογής γίνεται στην αλυσίδα, ή με το να εισαγάγεις ξανά εσύ ο ίδιος το πορτοφόλι, σε συσκευή που ελέγχεις.
Ένα airdrop δεν μπορεί να την απαιτήσει. Για την αποστολή tokens χρειάζεται μόνο η δημόσια διεύθυνσή σου — αυτή που επικολλάς σε φόρμες. Η λήψη δεν απαιτεί ποτέ απόδειξη ότι μπορείς να ξοδέψεις.
Ένας έλεγχος ασφαλείας δεν μπορεί να την απαιτήσει. Η ιδιοκτησία αποδεικνύεται με υπογραφή μηνύματος· η υπογραφή επιβεβαιώνει τον έλεγχο χωρίς να αποκαλύψει ποτέ τα κλειδιά.
Μια επιστροφή χρημάτων δεν μπορεί να την απαιτήσει — πόσο μάλλον μια επιστροφή για προηγούμενη απάτη.
Όλα αυτά τα προϊόντα υπάρχουν. Κανένα δεν χρειάστηκε ποτέ τη φράση ανάκτησής σου, γιατί η φράση δεν σε ταυτοποιεί. Σε αντικαθιστά.
Δεν είναι μόνο δικός μας ισχυρισμός. Η ίδια η τεκμηρίωση υποστήριξης του MetaMask διατυπώνει τον κανόνα καθαρά: «αν κάποιος σου ζητήσει τη Secret Recovery Phrase, προσπαθεί να σε εξαπατήσει» — ένας κατασκευαστής πορτοφολιού που λέει, για τη δική του ομάδα υποστήριξης, ότι το ίδιο το αίτημα είναι η απόδειξη.
3. Πέντε κοστούμια, ένα αίτημα
Οι ιστορίες αλλάζουν. Η τελευταία πρόταση όχι.
4. Ορίστε μία
Διάβασέ τη όπως θα τη διάβαζες στις έντεκα και μισή το βράδυ, σε κινητό, αφού σου είπαν ότι κάτι δεν πάει καλά με τα χρήματά σου.
Αυτό είναι αντιπροσωπευτικό πραγματικών εκστρατειών που έχουν τεκμηριώσει ερευνητές ασφαλείας και κατασκευαστές πορτοφολιών. Η διατύπωση, η βιασύνη, οι επινοημένοι περιορισμοί και το αίτημα για φράση ανάκτησης εμφανίζονται επανειλημμένα σε μηνύματα phishing που στοχεύουν χρήστες MetaMask, Trust Wallet, πορτοφολιών υλικού και γενικούς παραλήπτες «crypto wallet». Οι πραγματικές εκδοχές χρησιμοποιούν διαφορετικά brands και domains· το υποκείμενο αίτημα δεν αλλάζει.
Δείξε μου τι δεν πάει καλά
Το ίδιο το αίτημα είναι ολόκληρη η απάντηση. Όλα τα άλλα είναι δευτερεύοντα. Ωστόσο αξίζει να προσέξεις πόσο προσεκτικά είναι φτιαγμένη η συσκευασία:
- Η «περιορισμένη λειτουργία» και η «προστατευτική φύλαξη» είναι επινοημένες καταστάσεις. Τα πραγματικά πορτοφόλια δεν τις έχουν. Ακούγονται σαν τραπεζική γλώσσα επειδή στις τράπεζες έχουν μάθει οι άνθρωποι να περιμένουν τέτοια γλώσσα.
- Το «εντός 24 ωρών» είναι το ρολόι — τοποθετημένο εκεί ειδικά για να σε εμποδίσει να ρωτήσεις κάποιον άλλον.
- Η διεύθυνση, διαβασμένη από αριστερά προς τα δεξιά, φαίνεται αξιόπιστη. Το
wallet-supportείναι μόνο subdomain και δεν έχει καμία εξουσία. Το κομμάτι που πραγματικά αποφασίζει πού θα καταλήξεις είναι τοverify-restore.example.com. Διάβαζε πάντα ένα URL από τα δεξιά. - Η ορθογραφία είναι τέλεια. Η γραμματική είναι σωστή. Δεν απομένει τίποτα να πιάσεις με επιφανειακό έλεγχο.
Και μία γραμμή πιο παράξενη απ' όσο φαίνεται αρχικά: «επιβεβαίωσε την ιδιοκτησία». Η φράση ανάκτησής σου δεν επιβεβαιώνει την ιδιοκτησία σε κανέναν. Τη μεταβιβάζει.
5. Γιατί το τεστ της ορθογραφίας σταμάτησε να λειτουργεί
Για δύο δεκαετίες μάθαιναν στους ανθρώπους να εντοπίζουν την απάτη από τις ραφές της — σπασμένα αγγλικά, ένα λογότυπο που δεν ταιριάζει, ένας χαιρετισμός που ξεκινά με «Αγαπητέ πελάτη».
Αυτή η συμβουλή είχε νόημα όταν η δημιουργία μιας πειστικής σελίδας κόστιζε ακριβά.
Τώρα είναι δωρεάν. Άπταιστο κείμενο σε οποιαδήποτε γλώσσα παράγεται σε δευτερόλεπτα. Η αντιγραφή της ακριβούς εμφάνισης ενός ιστότοπου δεν ήταν ποτέ δύσκολη· ο σχεδιασμός είναι εξ ορισμού δημόσιος.
Ένα μήνυμα που φαίνεται επαγγελματικό επομένως δεν σου λέει τίποτα για τη νομιμότητά του. Σου λέει μόνο ότι κάποιος αφιέρωσε λίγα λεπτά.
Αυτό που δεν έχει αλλάξει — και δεν μπορεί να αλλάξει — είναι τι χρειάζεται ο επιτιθέμενος. Χρειάζεται τις λέξεις. Ό,τι άλλο κι αν επινοήσει, στο τέλος πρέπει να τις ζητήσει.
Σταμάτα να βαθμολογείς την παρουσίαση. Διάβασε το αίτημα.
6. Γιατί υπάρχει πάντα ένα ρολόι
Κάθε εκδοχή αυτού του μηνύματος περιέχει προθεσμία: είκοσι τέσσερις ώρες, μέχρι το τέλος της ημέρας, πριν ανασταλεί ο λογαριασμός.
Το ρολόι δεν είναι εκεί για να σε βιάσει. Είναι εκεί για να αποτρέψει τη μία ενέργεια που καταρρίπτει με σιγουριά την επίθεση: να το πεις σε άλλον άνθρωπο. Ειπωμένο φωναχτά σχεδόν σε οποιονδήποτε — έναν φίλο, ένα φόρουμ, μια μηχανή αναζήτησης — το αίτημα εξατμίζεται. Μια προθεσμία σε αναγκάζει να αποφασίσεις μόνος.
Η προθεσμία επομένως δεν είναι λεπτομέρεια της ιστορίας. Είναι φέρον στοιχείο. Όταν προσέχεις μία προσαρτημένη σε αίτημα για μυστικά, αυτή η παρατήρηση είναι από μόνη της το εύρημα.
7. Πού πρέπει να ζει η φράση
Σύντομα, γιατί ο κανόνας είναι απλός.
Πληκτρολογείς τη φράση ανάκτησής σου σε ακριβώς μία περίπτωση: όταν επαναφέρεις ένα πορτοφόλι σε λογισμικό που εγκατέστησες μόνος σου, σε συσκευή που ελέγχεις.
Ποτέ σε ιστοσελίδα.
Ποτέ σε φόρμα που ήρθε μέσα σε μήνυμα.
Ποτέ σε συνομιλία, αίτημα υποστήριξης, υπολογιστικό φύλλο, φωτογραφία, σημείωση διαχειριστή κωδικών ή βοηθό AI.
Αν χρησιμοποιείς πορτοφόλι υλικού, η φράση δεν πρέπει ποτέ να πληκτρολογηθεί σε υπολογιστή μετά τη μέρα που την έγραψες για πρώτη φορά.
8. Αν την έχεις ήδη πληκτρολογήσει
Τότε αυτή η ενότητα είναι το μόνο που μετράει, και η ταχύτητα μετράει περισσότερο από την τάξη.
Θεώρησε ότι αυτό το πορτοφόλι χάθηκε και ενέργησε με αυτή την παραδοχή αμέσως. Μην περιμένεις επιβεβαίωση. Μη δοκιμάσεις με μικρή συναλλαγή. Μην προσπαθήσεις να αλλάξεις κωδικό — δεν υπάρχει κωδικός να αλλάξεις.
Για το πρόβλημα του gas, γιατί πιάνει τους ανθρώπους την χειρότερη δυνατή στιγμή: για να μετακινήσεις ένα token χρειάζεσαι το εγγενές νόμισμα του δικτύου για να πληρώσεις το τέλος. Αν το παραβιασμένο πορτοφόλι δεν έχει, πρέπει να στείλεις λίγο — και τα αυτοματοποιημένα bots που παρακολουθούν τη διεύθυνση συχνά το παίρνουν μέσα σε ένα μόνο block. Οι άνθρωποι δοκιμάζουν τρεις φορές, χάνουν το gas τρεις φορές και καταλήγουν ότι δεν γίνεται τίποτα.
Υπάρχουν λύσεις παράκαμψης, όπως το να συνδυάσεις τη χρηματοδότηση και τη διάσωση σε μία ατομική συναλλαγή που δεν μπορεί να διακοπεί. Είναι περίπλοκες και εξαρτώνται από το δίκτυο. Αν διακυβεύεται σημαντικό ποσό, ρώτα κάποιον έμπειρο πριν κάψεις κι άλλες προσπάθειες.
Και η πιο σκληρή συνέχεια: άνθρωποι που μόλις έχουν ληστευτεί συχνά προσεγγίζονται μέσα σε λίγες ώρες από «ειδικούς ανάκτησης» που υπόσχονται να εντοπίσουν και να επιστρέψουν τα κεφάλαια. Ζητούν ξανά τη φράση, ή μια προκαταβολή. Είναι η ίδια επίθεση, με στόχο τον ίδιο άνθρωπο, την χειρότερη μέρα του. Κανείς δεν μπορεί να αντιστρέψει μια συναλλαγή blockchain. Όποιος ισχυρίζεται το αντίθετο πουλά τη δεύτερη ληστεία.
9. Τι μπορεί και τι δεν μπορεί να σου πει μια σάρωση
Επικόλλησε ένα μήνυμα σαν το παραπάνω στον σαρωτή μας και θα επιστρέψει FAIL, επισημαίνοντας το αίτημα για seed phrase ως κρίσιμο και σημειώνοντας την ύποπτη δομή του συνδέσμου.
Ορίστε τι δεν κάνει.
- Δεν επισκέπτεται ποτέ τον σύνδεσμο. Εξετάζει τη μορφή της διεύθυνσης — ονόματα brands σε θέσεις που δεν έχουν εξουσία, χαρακτήρες-σωσίες, μοτίβα ανακατεύθυνσης — αλλά δεν ανακτά τη σελίδα. Δεν μπορεί να σου πει αν ο ιστότοπος στην άλλη άκρη είναι κλώνος.
- Δεν μπορεί να δει ένα μήνυμα που δεν επικόλλησες ποτέ. Τα περισσότερα φτάνουν όταν είσαι κουρασμένος και βιάζεσαι, ακριβώς τη στιγμή που κανείς δεν ελέγχει τίποτα.
- Ένα καθαρό αποτέλεσμα δεν είναι ετυμηγορία για τον αποστολέα. Σημαίνει μόνο ότι δεν ταίριαξε κανένα καλυπτόμενο μοτίβο.
- Δεν μπορεί να αναιρέσει τίποτα. Η ενότητα 8 υπάρχει επειδή η σάρωση εκ των υστέρων δεν είναι θεραπεία.
Για τη συγκεκριμένη επίθεση ένας σαρωτής είναι χρήσιμο δίχτυ ασφαλείας, όχι η κύρια άμυνα. Η άμυνα είναι μία πρόταση, και την έχεις ήδη.
Ο κανόνας
Κανείς δεν χρειάζεται τη φράση ανάκτησής σου. Ποτέ. Για κανέναν λόγο. Όποιος κι αν ισχυρίζεται ότι είναι.
Κάθε μήνυμα που τη ζητά είναι απόπειρα κλοπής. Αυτό δεν είναι ευρετικός κανόνας με εξαιρέσεις· είναι ο πλήρης κανόνας, και ένας από τους σπάνιους κανόνες ασφαλείας που πραγματικά δεν έχει οριακές περιπτώσεις.
Αν ποτέ δεν είσαι σίγουρος, πρώτα δυσπίστησε στην προθεσμία. Μετά ρώτα κάποιον. Αυτό το ένα βήμα τερματίζει την επίθεση.
Σχετικά: οδηγίες γραμμένες για ένα AI και όχι για σένα, και κείμενο που εμφανίζεται ως τίποτα. Αυτό το άρθρο είναι μόνο για εκπαιδευτικούς σκοπούς και δεν αποτελεί χρηματοοικονομική συμβουλή. Το μήνυμα του παραδείγματος είναι αντιπροσωπευτικό πραγματικών εκστρατειών, χρησιμοποιεί δεσμευμένο domain παραδείγματος και δεν στοχεύει καμία πραγματική εταιρεία.
Διαβάζεις ένα ύποπτο μήνυμα στον browser σου; Ο σελιδοδείκτης σάρωσης επιλεγμένου κειμένου το ελέγχει χωρίς αντιγραφή και επικόλληση, και το κείμενο μένει στον browser σου.