Rehber · Cüzdan riski · · Stefan Tsezarov · güncellendi
On İki Kelime
Kriptodaki en pahalı mesaj, satır satır ayrıştırıldı.
Mesaj kibar bir şekilde gelir.
Logo eşleşir.
Bağlantı, zaten kullandığın cüzdanın tıpatıp aynısı gibi görünen bir sayfa açar: aynı renkler, aynı yazı tipi, köşede aynı sakin çizim.
Erişimin geri yüklenebilmesi için sakin bir şekilde kurtarma ifadeni onaylamanı ister.
Bu isteğin meşru olduğu hiçbir durum yoktur.
Destek değil. Taşıma değil. Airdrop değil. Güvenlik kontrolü değil. İade değil. Doğrulama değil.
Bir kez bile değil. Asla. Kimse tarafından.
Aslında makalenin tamamı bu. Bundan sonraki her şey yalnızca bu isteğin neden hâlâ bu kadar sık işe yaradığını açıklıyor.
1. On iki kelime aslında nedir
Çoğu insan kurtarma ifadesini bir parola gibi görür. Bu tek kategori hatası, sonraki neredeyse her felaketin köküdür.
Bir parola, başka birinin zaten tuttuğu bir hesabı korur. Parolanı kaybedersin ve sıfırlarsın. Hesap ayakta kalır.
Kurtarma ifadesi farklıdır.
Her bir özel anahtarının üretildiği ana sayıdır. Cüzdanın bu on iki (veya yirmi dört) kelimeyi alır, onları son derece büyük bir tam sayıya dönüştürür ve cüzdanın desteklediği her ağda, henüz kullanmadığın ağlar dahil, kontrol edeceğin her adresi ondan türetir.
İfade bir kapının anahtarı değildir.
Kapıların kendisinin yapıldığı malzemedir.
2. Neden hiçbir meşru kişi asla istemez
Destek onu kullanamaz. Bir cüzdan sağlayıcısı fonlarını asla tutmaz ve bu yüzden onları senin adına taşıyamaz; tasarım budur. İfadeni bir destek temsilcisine vermek ona paranın tam kontrolünü vermek olurdu. Hiçbir yetkin şirket böyle bir isteğe izin vermez.
Bir taşıma onu gerektiremez. Yeni bir sözleşmeye veya yeni bir uygulama sürümüne geçmek zincir üzerinde ya da cüzdanı kontrol ettiğin bir cihazda kendin yeniden içe aktararak olur.
Bir airdrop onu gerektiremez. Token göndermek yalnızca herkese açık adresine ihtiyaç duyar: formlara yapıştırdığın adrese. Almak asla harcayabileceğinin kanıtını istemez.
Bir güvenlik kontrolü onu gerektiremez. Sahiplik bir mesaj imzalanarak kanıtlanır; imza, anahtarları hiç açığa çıkarmadan kontrolü doğrular.
Bir iade onu gerektiremez; hele önceki bir dolandırıcılığın iadesi hiç gerektiremez.
Bu ürünlerin her biri var. Hiçbiri kurtarma ifadene hiç ihtiyaç duymadı, çünkü ifade kimliğini doğrulamaz. Seni yerine koyar.
Bu yalnızca bizim iddiamız değil. MetaMask'ın kendi destek belgeleri kuralı açıkça belirtiyor: "if anyone asks for your Secret Recovery Phrase, they are trying to scam you" (biri senden Secret Recovery Phrase'ini istiyorsa, seni dolandırmaya çalışıyordur): bir cüzdan üreticisinin, kendi destek ekibi hakkında, isteğin kendisinin kanıt olduğunu söylemesi.
3. Beş kostüm, tek istek
Hikâyeler değişir. Son cümle değişmez.
4. İşte bir tane
Onu gece on bir buçukta, telefonda, paranla ilgili bir sorun olduğu söylendikten sonra okuyacağın gibi oku.
Bu, güvenlik araştırmacıları ve cüzdan üreticileri tarafından belgelenen gerçek kampanyaları temsil ediyor. İfadeler, aciliyet, uydurma kısıtlamalar ve kurtarma ifadesi isteği MetaMask, Trust Wallet, donanım cüzdanı kullanıcılarını ve genel “kripto cüzdanı” alıcılarını hedefleyen oltalama mesajlarında tekrar tekrar görülüyor. Gerçek versiyonlar farklı marka adları ve alan adları kullanır; temeldeki istek değişmez.
Neyin yanlış olduğunu göster
İsteğin kendisi yanıtın tamamıdır. Geri kalan her şey ikincildir. Yine de ambalajın ne kadar özenle hazırlandığını fark etmeye değer:
- "Sınırlı mod" ve "koruyucu emanet" uydurma durumlardır. Gerçek cüzdanlarda yoktur. Bankacılık dili gibi gelirler, çünkü insanlar böyle bir dili bankacılıktan beklemeyi öğrenmiştir.
- "24 saat içinde" saattir; özellikle başka birine sormanı engellemek için oraya konmuştur.
- Adres soldan sağa okununca güvenilir görünüyor.
wallet-supportyalnızca bir alt alan adıdır ve hiçbir yetki taşımaz. Nereye ulaşacağına gerçekten karar veren kısımverify-restore.example.com'dur. Bir URL'yi her zaman sağdan oku. - Yazım kusursuz. Dilbilgisi doğru. Yüzeysel bir incelemeyle yakalanacak hiçbir şey kalmamış.
Ve ilk göründüğünden daha tuhaf bir satır: "sahipliği onayla." Kurtarma ifaden sahipliği kimseye onaylamaz. Onu devreder.
5. Yazım testi neden işe yaramaz oldu
İki on yıl boyunca insanlara dolandırıcılığı dikiş yerlerinden tanımaları öğretildi: bozuk İngilizce, uyumsuz bir logo, “Sayın Müşterimiz” diye başlayan bir selamlama.
Bu tavsiye, ikna edici bir sayfa üretmenin pahalı olduğu zamanlarda mantıklıydı.
Artık ücretsiz. Herhangi bir dilde akıcı metin saniyeler içinde üretilebilir. Bir web sitesinin tam görünümünü kopyalamak hiç zor olmadı; tasarım tanımı gereği herkese açıktır.
Profesyonel görünen bir mesaj bu yüzden meşruiyeti hakkında sana hiçbir şey söylemez. Yalnızca birinin birkaç dakika harcadığını söyler.
Değişmeyen ve değişemeyecek olan şey, saldırganın neye ihtiyaç duyduğudur. Kelimelere ihtiyacı var. Başka ne uydurursa uydursun, sonunda onları istemek zorunda.
Sunumu puanlamayı bırak. İsteği oku.
6. Neden her zaman bir saat var
Bu mesajın her versiyonu bir son tarih içerir: yirmi dört saat, gün sonu, hesap askıya alınmadan önce.
Saat seni acele ettirmek için orada değil. Saldırıyı güvenilir şekilde çökerten tek eylemi engellemek için orada: başka birine söylemek. Neredeyse herkese (bir arkadaşa, bir foruma, bir arama motoruna) yüksek sesle söylendiğinde istek buharlaşır. Bir son tarih kararın yalnız verilmesini zorlar.
Son tarih bu yüzden hikâyenin bir ayrıntısı değildir. Taşıyıcıdır. Sırların istendiği bir talebe eklenmiş bir son tarih fark ettiğinde, o fark etmenin kendisi bulgudur.
7. İfade nerede durmalı
Kısaca, çünkü kural basit.
Kurtarma ifadeni tam olarak tek bir durumda yazarsın: kendin kurduğun yazılıma, kontrol ettiğin bir cihazda bir cüzdanı geri yüklerken.
Asla bir web sayfasına.
Asla bir mesajla gelen bir forma.
Asla bir sohbete, bir destek talebine, bir tabloya, bir fotoğrafa, bir parola yöneticisi notuna veya bir AI asistanına.
Bir donanım cüzdanı kullanıyorsan, ifade onu ilk yazdığın günden sonra bir bilgisayara hiç yazılmamalıdır.
8. Zaten girdiysen
O zaman önemli olan tek kısım bu bölüm ve hız düzenden daha önemli.
O cüzdanın gittiğini varsay ve bu varsayıma göre hemen hareket et. Onay bekleme. Küçük bir işlemle test etme. Parola değiştirmeye çalışma: değiştirilecek bir parola yok.
Gas sorunu hakkında, çünkü insanları mümkün olan en kötü anda yakalar: bir tokenı taşımak, ücreti ödemek için ağın yerel coin'ini gerektirir. Ele geçirilmiş cüzdanda hiç yoksa biraz göndermen gerekir ve adresi izleyen otomatik boşaltıcılar onu çoğu zaman tek bir blok içinde alır. İnsanlar üç kez dener, gas'ı üç kez kaybeder ve hiçbir şey yapılamayacağı sonucuna varır.
Geçici çözümler var; fonlamayı ve kurtarmayı kesintiye uğratılamayan tek bir atomik işlemde birleştirmek de dahil. Zahmetli ve ağa özgüdürler. Önemli bir miktar söz konusuysa, daha fazla deneme harcamadan önce deneyimli birine sor.
Ve en acımasız devam: yeni soyulmuş insanlara çoğu zaman saatler içinde fonları izleyip geri getireceğini vaat eden “kurtarma uzmanları” yaklaşır. İfadeyi yeniden ya da peşin bir ücret isterler. Aynı kişiye, en kötü gününde yöneltilmiş aynı saldırıdır. Kimse bir blokzincir işlemini geri alamaz. Aksini iddia eden herkes ikinci soygunu satıyordur.
9. Bir taramanın söyleyebildikleri ve söyleyemedikleri
Yukarıdaki gibi bir mesajı tarayıcımıza yapıştır; kurtarma ifadesi isteğini kritik olarak işaretleyip şüpheli bağlantı yapısını not ederek FAIL döndürür.
İşte yapmadığı şeyler.
- Bağlantıyı asla ziyaret etmez. Adresin biçimini inceler (yetki taşımayan konumlardaki marka adları, benzer karakterler, yönlendirme kalıpları) ama sayfayı getirmez. Diğer uçtaki sitenin bir kopya olup olmadığını söyleyemez.
- Hiç yapıştırmadığın bir mesajı göremez. Bunların çoğu yorgun ve aceleci olduğunda gelir, tam da kimsenin bir şey kontrol etmediği zaman.
- Temiz bir sonuç gönderen hakkında bir karar değildir. Yalnızca kapsanan hiçbir kalıbın eşleşmediği anlamına gelir.
- Hiçbir şeyi geri alamaz. Bölüm 8, sonradan taramak bir çare olmadığı için var.
Bu özel saldırı için bir tarayıcı yararlı bir yedektir, birincil savunma değil. Savunma bir cümle uzunluğunda ve o zaten sende.
Kural
Kimsenin kurtarma ifadene ihtiyacı yok. Asla. Hiçbir nedenle. Kim olduğunu iddia ederse etsin.
Onu isteyen her mesaj bir hırsızlık girişimidir. Bu istisnaları olan bir sezgisel kural değil; kuralın tamamıdır ve gerçekten hiçbir sınır durumu olmayan nadir güvenlik kurallarından biridir.
Emin değilsen, önce son tarihe güvenme. Sonra birine sor. Bu tek adım saldırıyı bitirir.
İlgili: senin için değil, bir AI için yazılmış talimatlar ve hiçbir şey olarak görüntülenen metin. Bu makale yalnızca eğitim amaçlıdır ve finansal tavsiye değildir. Örnek mesaj gerçek kampanyaları temsil eder, ayrılmış bir örnek alan adı kullanır ve hiçbir gerçek şirketi hedeflemez.
Tarayıcında şüpheli bir mesaj mı okuyorsun? Seçili metni tarama yer imi onu kopyalayıp yapıştırmadan kontrol eder ve metin tarayıcında kalır.