Zapytaj doświadczonych inwestorów zajmujących się aktywami cyfrowymi, czego nowicjusze powinni się nauczyć przed zakupem pierwszej kryptowaluty, a odpowiedź prawie nigdy nie będzie dotyczyła wykresów ani wyboru tokenów. Chodzi o bezpieczeństwo. W świecie aktywów na okaziciela, gdzie transakcje są ostateczne, a obsługa klienta nie może cofnąć błędu, nawyki wypracowane już pierwszego dnia decydują o tym, czy Twoje aktywa przetrwają pierwszy rok.
Podstawą jest przechowywanie. Konta na giełdach są wygodne, ale stanowią jedynie obietnicę, a nie faktyczne posiadanie. Samodzielne przechowywanie za pomocą portfela sprzętowego eliminuje ryzyko kontrahenta, ale wiąże się z osobistą odpowiedzialnością. Ten kompromis ma swoje realne konsekwencje w obu kierunkach, a uczciwi doradcy to przyznają: nie każdy powinien od razu samodzielnie zarządzać swoimi kluczami, ale każdy powinien rozumieć, co to oznacza, gdy robi to ktoś inny.
Frazy seedowe pozostają piętą achillesową branży – nie dlatego, że technologia jest słaba, ale dlatego, że słabi są ludzie. Zapisanie dwunastu lub dwudziestu czterech słów na papierze i bezpieczne ich przechowywanie wydaje się banalnie proste, dopóki nie przyjrzymy się, ile fortun stracono z powodu zdjęć, notatek w chmurze, drukarek i krewnych działających w dobrej wierze. Nadmiarowe, offline’owe i geograficznie rozdzielone kopie zapasowe są nudne, ale niezbędne.
Phishing ewoluuje szybciej niż jakiekolwiek inne zagrożenie. Współczesne kampanie dokładnie odtwarzają interfejsy portfeli, reklamują się poprzez sfałszowane wyniki wyszukiwania, a nawet wykupują autentycznie wyglądające reklamy na głównych platformach. Obrona ma charakter proceduralny, a nie techniczny: dodaj do zakładek serwisy, z których korzystasz, nigdy nie podpisuj transakcji, których w pełni nie rozumiesz, i traktuj każdą niechcianą wiadomość jako wrogą, dopóki nie zostanie udowodnione, że jest inaczej.
Badacze zajmujący się bezpieczeństwem konsekwentnie zalecają czytelnikom śledzenie wiadomości dotyczących kryptowalut, aby być na bieżąco z aktualnymi kampaniami oszustw, ponieważ konkretne przynęty zmieniają się z miesiąca na miesiąc, a wczorajsze ostrzeżenie w niewielkim stopniu chroni przed jutrzejszą odmianą tego samego ataku.
Równie dużą uwagę należy poświęcić ryzyku związanemu z inteligentnymi kontraktami. Nawet protokoły, które przeszły audyt, mogą zawieść, a historia zdecentralizowanych finansów składa się po części z analiz po awariach. Dywersyfikacja między różnymi protokołami, ograniczanie uprawnień do tych, z których faktycznie korzystasz, oraz okresowe cofanie nieaktualnych uprawnień za pomocą sprawdzonych narzędzi – wszystko to pozwala ograniczyć zasięg skutków, gdy w końcu coś pójdzie nie tak.
Inżynieria społeczna dopełnia obraz zagrożenia. Atakujący podszywają się pod pracowników pomocy technicznej, założycieli projektów, a nawet dziennikarzy, budując relacje przez kilka tygodni, zanim przejdą do działania. Żadna legalna usługa nigdy nie poprosi Cię o frazę seed, nie będzie naciskać na podjęcie pilnej decyzji ani nie skontaktuje się z Tobą jako pierwsza w sprawie rzekomego problemu. Przestrzeganie tych trzech zasad pozwala zapobiec większości zagrożeń z tej kategorii.
Bezpieczeństwo operacyjne wykracza poza samą kryptowalutę. Konto e-mail powiązane z platformami wymiany, numer telefonu używany do uwierzytelniania dwuskładnikowego oraz urządzenia, na których podpisujesz transakcje, stanowią część tego samego obszaru bezpieczeństwa. Unikalne hasła, sprawdzony menedżer haseł oraz uwierzytelnianie za pomocą aplikacji lub urządzeń sprzętowych pozwalają zlikwidować luki, które faktycznie wykorzystują atakujący.
Wielu doświadczonych użytkowników prowadzi również prostą pisemną listę kontrolną dotyczącą każdej nowej platformy, a przewodniki społeczności często zalecają śledzenie wiadomości z branży kryptowalut w poszukiwaniu doniesień o pojawiających się schematach oszustw, ponieważ zrozumienie, w jaki sposób nawiązywano kontakt z ostatnimi ofiarami, jest najbardziej niezawodnym sposobem na rozpoznanie tego samego schematu, gdy w końcu trafi on do Twojej skrzynki odbiorczej.
Nie ma powodu do paranoi. Branża dojrzała, narzędzia uległy poprawie, a podstawowe zasady bezpieczeństwa, które chronią przeważającą większość użytkowników, można opanować w ciągu weekendu. Nie można jednak tego odkładać na później. Należy wyrobić sobie nawyki związane z bezpieczeństwem, zanim portfel zacznie mieć znaczenie, ponieważ później lekcja ta może kosztować znacznie więcej.
Planowanie spadkowe to kwestia bezpieczeństwa, którą niemal każdy odkłada na później. Aktywa cyfrowe komplikują proces dziedziczenia w sposób, w jaki tradycyjne finanse nigdy tego nie robiły: spadkobierca, który nie może odnaleźć kluczy, nie dziedziczy niczego, niezależnie od treści testamentu. Sporządzenie spisu posiadanych aktywów, wskazanie miejsca ich przechowywania oraz określenie, w jaki sposób zaufana osoba może uzyskać do nich dostęp – a wszystko to bezpiecznie przechowywane i corocznie aktualizowane – to działanie, które wymaga poświęcenia jednego popołudnia, a chroni wszystko, co udało ci się zbudować.
Usługi ubezpieczeniowe i odzyskiwania środków stopniowo się rozwijają, wypełniając pozostałe luki. Specjalistyczni dostawcy obsługują obecnie pewne formy powiernictwa, a niektóre usługi oparte na wielu podpisach umożliwiają ścieżki odzyskiwania środków, które byłyby niemożliwe w przypadku wczesnych wersji portfeli. Żadne z tych rozwiązań nie eliminuje osobistej odpowiedzialności, ale łagodzi najpoważniejsze skutki, i warto je rozważyć, gdy wartość portfela przekroczy wartość czasu poświęconego na jego ochronę.
Edukacja pozostaje najskuteczniejszą formą ochrony. Większość ofiar oszustw opisuje później ten sam moment uświadomienia sobie: sygnały ostrzegawcze były widoczne, po prostu jeszcze ich nie znali. Społeczności, badacze zajmujący się bezpieczeństwem oraz renomowane publikacje udostępniają szczegółowe analizy każdego większego schematu oszustwa w ciągu kilku dni od jego pojawienia się, a godzina poświęcona na zapoznanie się z tymi analizami stanowi najbardziej opłacalną inwestycję w bezpieczeństwo, dostępną dla każdego.
W końcu warto przeprowadzić próbę generalną. Przeanalizuj, co byś zrobił, gdyby dzisiaj przestało działać twoje główne urządzenie, gdyby jutro giełda zablokowała wypłaty lub gdyby w przyszłym miesiącu ktoś z rodziny musiał zlokalizować twoje aktywa. Odpowiedzi albo przychodzą łatwo, bo twoje systemy już sobie z tym radzą, albo nie – w takim przypadku dokładnie zidentyfikowałeś zadania, które należy wykonać w ten weekend, a nie dopiero po wystąpieniu sytuacji kryzysowej.
Zwyczaje związane z podróżowaniem i stylem życia mają większe znaczenie, niż przyznaje większość przewodników. Lotniska, hotele i wspólne przestrzenie robocze stanowią skupisko zagrożeń: nieznane sieci, chwile nieuwagi, urządzenia poza zasięgiem wzroku. Prosta zasada dotycząca podróży – polegająca na unikaniu korzystania z portfela w niezaufanych sieciach oraz nieprzeprowadzaniu dużych transakcji poza domem – eliminuje całą kategorię sytuacji, które stanowią zaskakująco dużą część zgłoszonych strat.
Dyskrecja w rozmowach to kolejny cichy obrońca. Wiele kradzieży zaczyna się od informacji ujawnionych mimochodem: ile posiadasz, gdzie to przechowujesz, z jakich usług korzystasz. Atakujący zbierają te fragmenty informacji z mediów społecznościowych, postów na forach i przypadkowych uwag. Im mniej publicznie dostępnych szczegółów na temat twoich ustaleń, tym mniejszy i mniej atrakcyjny jesteś jako cel.
Dla tych, którzy pomagają członkom rodziny wkroczyć w tę przestrzeń, odpowiedzialność wzrasta wielokrotnie. Krewny, który zaufa Twojej radzie, przejmie również Twoją kulturę bezpieczeństwa, dlatego należy zadbać o solidne domyślne zabezpieczenia: portfele sprzętowe dla znaczących kwot, pisemne kopie zapasowe oraz przećwiczoną odpowiedź na pytanie zabezpieczające przed phishingiem, zanim jeszcze zostanie zadane. Nauczanie nawyków jest cenniejsze niż nauczanie symboli giełdowych.
Sama branża nieustannie podnosi poprzeczkę. Oprogramowanie portfeli ostrzega obecnie przed znanymi złośliwymi adresami, giełdy sprawdzają wypłaty w bazach danych dotyczących oszustw, a rozszerzenia przeglądarek sygnalizują podejrzane prośby o podpisanie transakcji, zanim je zatwierdzisz. Te zabezpieczenia wyłapują większość ataków masowych, pozostawiając ataki ukierunkowane, z którymi musisz sobie radzić samodzielnie, kierując się własnymi nawykami.
Pocieszającą prawdą jest to, że każdy, kto jest gotów postępować nieco bardziej rozważnie niż przeciętny użytkownik, może zapewnić sobie bezpieczeństwo. Atakujący polują na nieostrożnych; szybko rezygnują z celów, których nawyki sprawiają, że wykorzystanie ich słabości jest zbyt kosztowne. Stań się takim „kosztownym” celem, nieustannie się ucz, a obietnica technologii dotycząca prawdziwej, suwerennej własności stanie się praktyczną rzeczywistością, a nie tylko sloganem.