Водич · Ризик кај паричници · · Стефан Цезаров · ажурирано
Дванаесетте зборови
Најскапата порака во криптото, расклопена ред по ред.
Пораката пристигнува љубезна.
Логото се совпаѓа.
Линкот отвора страница што изгледа исто како паричникот што веќе го користиш — истите бои, истиот фонт, истата тивка илустрација во аголот.
Мирно те замолува да ја потврдиш фразата за враќање за да се врати пристапот.
Не постои ситуација во која тоа барање е легитимно.
Ни поддршка. Ни миграција. Ни airdrop. Ни безбедносна проверка. Ни рефундирање. Ни валидација.
Ни еднаш. Никогаш. Од никого.
Тоа е, всушност, целата статија. Сè што следи само објаснува зошто барањето сè уште толку често успева.
1. Што всушност се дванаесетте зборови
Повеќето луѓе ја третираат фразата за враќање како лозинка. Таа една категориска грешка е коренот на речиси секоја подоцнежна катастрофа.
Лозинката чува сметка што ја држи некој друг. Ја губиш лозинката и ја ресетираш. Сметката опстојува.
Фразата за враќање е различна.
Таа е главниот број од кој се генерира секој од твоите приватни клучеви. Паричникот ги зема тие дванаесет (или дваесет и четири) зборови, ги претвора во исклучително голем цел број и од него ја изведува секоја адреса што некогаш ќе ја контролираш на секоја мрежа што паричникот ја поддржува — вклучително и мрежи што уште не си ги користел.
Фразата не е клуч за врата.
Таа е материјалот од кој се прават самите врати.
2. Зошто никој легитимен никогаш не ја бара
Поддршката не може да ја користи. Давателот на паричникот никогаш не ги држи твоите средства и затоа не може да ги движи во твое име; така е дизајнирано. Ако му ја дадеш фразата на агент за поддршка, би му дал целосна контрола врз твоите пари. Ниту една сериозна компанија не дозволува такво барање.
Миграцијата не може да ја бара. Преминот на нов договор или нова верзија на апликацијата се случува на мрежата или така што ти сам повторно го увезуваш паричникот, на уред што го контролираш.
Airdrop не може да ја бара. За праќање токени треба само твојата јавна адреса — онаа што ја лепиш во формулари. Примањето никогаш не бара доказ дека можеш да трошиш.
Безбедносна проверка не може да ја бара. Сопственоста се докажува со потпишување порака; потписот ја потврдува контролата без воопшто да ги открие клучевите.
Рефундирање не може да ја бара — најмалку рефундирање за претходна измама.
Секој од тие производи постои. Ниту еден никогаш немал потреба од твојата фраза за враќање, бидејќи фразата не те идентификува. Те заменува.
Ова не е само наше тврдење. Документацијата за поддршка на самиот MetaMask јасно го кажува правилото: „ако некој ја бара твојата Secret Recovery Phrase, се обидува да те измами“ — производител на паричник што за сопствениот тим за поддршка вели дека самото барање е доказот.
3. Пет костими, едно барање
Приказните се менуваат. Последната реченица не.
4. Еве една
Прочитај ја како што би ја прочитал во единаесет и пол навечер, на телефон, откако ти рекле дека нешто не е во ред со твоите пари.
Ова е претставник на вистински кампањи документирани од безбедносни истражувачи и производители на паричници. Формулацијата, итноста, измислените ограничувања и барањето за фраза за враќање се повторуваат во фишинг пораки насочени кон корисници на MetaMask, Trust Wallet, хардверски паричници и општи примачи на „крипто паричник“. Вистинските верзии користат различни брендови и домени; основното барање не се менува.
Покажи ми што не е во ред
Самото барање е целиот одговор. Сè друго е споредно. Сепак, вреди да се забележи колку внимателно е изградено пакувањето:
- „Ограничен режим“ и „заштитно чување“ се измислени состојби. Вистинските паричници ги немаат. Звучат како банкарски јазик бидејќи луѓето токму од банките научиле да очекуваат таков јазик.
- „Во рок од 24 часа“ е часовникот — ставен таму токму за да те спречи да прашаш некој друг.
- Адресата, читана од лево кон десно, изгледа доверлива.
wallet-supportе само поддомен и нема никаков авторитет. Делот што навистина одлучува каде ќе стигнеш еverify-restore.example.com. URL секогаш читај го од десно. - Правописот е совршен. Граматиката е точна. Нема ништо што може да се фати со површна проверка.
И еден ред почуден отколку што изгледа на прв поглед: „потврди ја сопственоста.“ Твојата фраза за враќање не ја потврдува сопственоста пред никого. Ја пренесува.
5. Зошто тестот со правописот престана да функционира
Две децении луѓето ги учеа да ја препознаваат измамата по шевовите — скршен англиски, погрешно лого, поздрав што почнува со „Почитуван кориснику“.
Тој совет имаше смисла кога правењето уверлива страница чинеше скапо.
Сега е бесплатно. Течен текст на кој било јазик се генерира за неколку секунди. Копирањето на точниот изглед на веб-страница никогаш не било тешко; дизајнот по дефиниција е јавен.
Пораката што изгледа професионално затоа не ти кажува ништо за нејзината легитимност. Ти кажува само дека некој потрошил неколку минути.
Она што не се сменило — и не може да се смени — е што му треба на напаѓачот. Му требаат зборовите. Што и да измисли друго, на крајот мора да ги побара.
Престани да ја оценуваш презентацијата. Прочитај го барањето.
6. Зошто секогаш има часовник
Секоја верзија на оваа порака содржи рок: дваесет и четири часа, до крајот на денот, пред сметката да биде суспендирана.
Часовникот не е таму за да те брза. Таму е за да го спречи единственото дејство што сигурно го урива нападот: да му кажеш на друга личност. Кажано гласно речиси на кого било — пријател, форум, пребарувач — барањето исчезнува. Рокот те тера да одлучиш сам.
Рокот затоа не е детаљ од приказната. Тој е носечки. Кога ќе забележиш рок прикачен на барање за тајни, самото тоа забележување е наодот.
7. Каде треба да живее фразата
Накратко, бидејќи правилото е едноставно.
Фразата за враќање ја внесуваш во точно една ситуација: кога враќаш паричник во софтвер што сам си го инсталирал, на уред што го контролираш.
Никогаш во веб-страница.
Никогаш во формулар што пристигнал во порака.
Никогаш во разговор, тикет за поддршка, табела, фотографија, белешка во менаџер за лозинки или AI асистент.
Ако користиш хардверски паричник, фразата никогаш не треба да се внесува во компјутер по денот кога првпат си ја запишал.
8. Ако веќе си ја внел
Тогаш само овој дел е важен, а брзината е поважна од уредноста.
Претпостави дека тој паричник е изгубен и постапи според таа претпоставка веднаш. Не чекај потврда. Не пробувај со мала трансакција. Не обидувај се да смениш лозинка — нема лозинка за менување.
За проблемот со gas, бидејќи ги фаќа луѓето во најлошиот можен момент: за да преместиш токен ти треба матичната монета на мрежата за да ја платиш таксата. Ако компромитираниот паричник нема, мора да испратиш малку — а автоматизираните ботови што ја следат адресата често ја земаат во рамките на еден блок. Луѓето пробуваат три пати, губат gas три пати и заклучуваат дека ништо не може да се направи.
Постојат заобиколни решенија, вклучително и спојување на финансирањето и спасувањето во една атомска трансакција што не може да се прекине. Се незгодни и зависат од мрежата. Ако е во прашање значаен износ, прашај некој искусен пред да потрошиш уште обиди.
И најсуровото продолжение: луѓето што штотуку биле ограбени често во рок од неколку часа ги контактираат „специјалисти за враќање“ што ветуваат дека ќе ги пронајдат и вратат средствата. Повторно ја бараат фразата или однапред бараат такса. Тоа е истиот напад, насочен кон истата личност, во нејзиниот најлош ден. Никој не може да поништи трансакција на блокчејн. Кој тврди поинаку, продава второ ограбување.
9. Што може, а што не може да ти каже скенирањето
Залепи порака како онаа погоре во нашиот скенер и ќе врати FAIL, означувајќи го барањето за seed фраза како критично и забележувајќи ја сомнителната структура на линкот.
Еве што не прави.
- Никогаш не го посетува линкот. Ја испитува формата на адресата — имиња на брендови на позиции без авторитет, знаци двојници, шеми на пренасочување — но не ја презема страницата. Не може да ти каже дали страницата на другиот крај е клон.
- Не може да види порака што никогаш не си ја залепил. Повеќето од нив пристигнуваат кога си уморен и брзаш, токму кога никој ништо не проверува.
- Чист резултат не е пресуда за испраќачот. Значи само дека не се совпаднала ниту една покриена шема.
- Не може ништо да поништи. Делот 8 постои бидејќи скенирањето потоа не е лек.
За овој напад скенерот е корисна резерва, не главната одбрана. Одбраната е долга една реченица, а ти веќе ја имаш.
Правилото
Никому не му треба твојата фраза за враќање. Никогаш. Ни од која причина. Без разлика кој тврди дека е.
Секоја порака што ја бара е обид за кражба. Тоа не е хеуристика со исклучоци; тоа е целосното правило и едно од ретките безбедносни правила што навистина нема гранични случаи.
Ако некогаш не си сигурен, прво не верувај му на рокот. Потоа прашај некого. Тој еден чекор го завршува нападот.
Поврзано: упатства напишани за AI, а не за тебе и текст што се прикажува како ништо. Оваа статија е само за едукативни цели и не е финансиски совет. Примерната порака е претставник на вистински кампањи, користи резервиран пример-домен и не е насочена кон ниту една вистинска компанија.
Читаш сомнителна порака во прелистувачот? Обележувачот за скенирање избран текст ја проверува без копирање и залепување, а текстот останува во твојот прелистувач.