Slepé podepisování a další rizika u hardwarové peněženky

Běžná představa je, že hardwarová peněženka dělá transakce bezpečnými. Pravda je jemnější: zařízení chrání klíče, ne vaše rozhodnutí, a slepé podepisování to ukazuje nejlépe. Pokud potvrdíte škodlivou transakci, zařízení ji podepíše stejně ochotně jako běžnou. Útočníci to vědí, a mnozí se proto zaměřují na oklamání uživatele, ne na prolomení zařízení.

Pomáhá, když si před podpisem položíte jednoduchou otázku: vím, co přesně potvrzuji?

Co je slepé podepisování

U jednoduchých plateb zařízení zobrazí adresu a částku. U složitějších operací, například při interakci se smart kontraktem v síti Ethereum, může zobrazit jen nečitelný řetězec údajů. Pokud ho potvrdíte, aniž byste rozuměli obsahu, jde o slepé podepisování.

Takové potvrzení může udělit škodlivému kontraktu právo utrácet vaše tokeny. Proto některá zařízení slepé podepisování ve výchozím stavu vypínají a vyžadují jeho vědomé zapnutí. Nezapínejte ho, pokud nerozumíte důvodu.

V praxi to znamená, že při běžném odeslání kryptoměny na adresu zařízení ukáže vše potřebné a riziko je malé. Při interakci s decentralizovanými aplikacemi je situace složitější a vyžaduje více pozornosti. Více o tomto prostředí najdete v sekci DeFi.

Phishing zaměřený na podpis

Podvodná stránka může napodobit známou službu a požádat vás, abyste „připojili peněženku“ a potvrdili transakci. Transakce vypadá nevinně, ve skutečnosti však uděluje oprávnění k přístupu k vašim tokenům. Útočník následně prostředky vybere.

Obrana spočívá v tom, že stránky, kde připojujete peněženku, otevíráte pouze přes uloženou záložku a ověřujete adresu. Pozorně čtěte, co po vás zařízení chce potvrdit. Podrobnosti o podvodech najdete v sekci podvody.

Při každém připojení ověřte, že žádáte přesně to, co jste zamýšleli.

Další rizika

Mezi další rizika patří falešné aktualizace firmwaru, podvodné e-maily vydávající se za výrobce a kopírování adresy přes schránku, kterou může malware zaměnit. Proto se adresa kontroluje na displeji zařízení a alespoň její začátek a konec by měly odpovídat zamýšlenému příjemci.

Rizikem je i předpoklad, že je vše v pořádku, protože používáte hardware. Sebejistota vede k menší opatrnosti. Zachovejte stejnou pozornost u každé transakce, a zvlášť při prvním použití nové služby.

Některé útoky využívají také časový tlak: stránka tvrdí, že nabídka vyprší nebo že je účet ohrožen a je třeba okamžitě potvrdit transakci. Tlak je typickým znakem podvodu, protože vám bere čas na kontrolu.

Praktické zásady

U nové služby nejprve pošlete malou částku. Pravidelně kontrolujte a rušte nepoužívaná oprávnění pro kontrakty. Zvažte rozdělení prostředků: většinu na zařízení, které používáte jen zřídka, menší částku v peněžence pro běžné použití. Přehled typů najdete v sekci peněženky.

Nikdy nesdílejte obnovovací frázi a firmware aktualizujte pouze přes oficiální aplikaci. Pojmy najdete ve slovníku. Obsah není investiční radou; kryptoaktiva jsou riziková.

Pokud si nejste jistí, transakci odmítněte. Odmítnutí nic nestojí, zatímco potvrzení může stát všechno. Svá rozhodnutí si můžete zapisovat a po čase vyhodnotit, co fungovalo a co ne.