Как сберечь ключ от криптокошелька. Страхуемся от хакеров, государства и собственной рассеянности
Покупая криптовалюту нужно думать не только о потере части активов на падении курсов, но и том, как ее правильно хранить. Если вы держите средства на кастодиальном кошельке централизованной биржи, то рискуете лишиться крипты из-за взлома, банкротства или решения биржи. CEX — это настоящий хозяин ваших активов, так как имея там аккаунт вы не обладаете доступом к приватному ключу.
Несмотря на риски при хранении крипты на централизованной бирж, есть и плюсы — вы можете восстановить доступ к активам при потере пароля. Поэтому волноваться нужно только о честности и надежности биржи.
Когда вы используете некастодиальные кошельки, то вся власть в ваших руках, но и ответственность тоже ложится на ваши плечи. Если вы потеряете или передадите кому-то пароль, сид-фразу или приватный ключ, то помочь вам уже никто не сможет.
В этом материале мы рассмотрим, как можно лишиться ключа и средств на кошельке, а также способы защиты от этого.
Приватный ключ — это шестнадцатиричное число весом 256 бит, которое используется для восстановления доступа к кошельку.
На данный момент 256-битного шифра достаточно для обеспечения защиты от брутфорс-атак (атака методом подбора). Для взлома сети Ethereum хакеру необходимо проверить 2^256 ключей. Сейчас такая работа может занять тысячи лет даже у самого мощного компьютера в мире.
Сид-фраза — это фраза из 12, 18 или 24 слов. Это лишь интерпретацией приватного ключа.
Давайте посчитаем, сколько приватных ключей необходимо проверить, чтобы наткнуться на один активный (принадлежащий какому-либо человеку). Учитывая, что количество активных кошельков в Ethereum составляет приблизительно 50 млн, найдем степень двойки, наиболее близкую к этому числу:
Тогда получается, что отношение использующихся приватных ключей к пустым составляет (2^26) / (2^256). Делаем вывод — для подбора доступа хотя бы к одному кошельку со средствами необходимо будет осуществить перебор 2^230 приватных ключей. Вот как выглядит это число:
На данный момент нет потребности в переходе на более сложные методы шифрования.
Вот пример того, как может выглядеть приватный ключ:
50645367566B59703373357638792F423F4528482B4D6251655468576D5A7134 (ни в коем случае не используйте этот ключ)
В MetaMask он может выглядеть следующим образом:
Так может выглядеть сид-фраза:
before fog tackle owner allow towards risk farm abandon vast cattle shoulder
Когда у вас есть контроль над закрытым ключом, вы обладаете правом совершать транзакции и расходовать средства, привязанные к этому адресу. Закрытый ключ — это то, чем вы никогда не должны делиться.
Как только ваш приватный ключ попадает в открытый доступ — кошелек вместе со средствами на нем никогда не станут вашими. Зачастую бывает так, что со сливом приватного ключа в открытый доступ из кошелька пропадают только ETH, при этом ERC-20 токены и NFT остаются на аккаунте.
Такое может быть в случае, когда аккаунт патрулирует больше одного бота. Как только вы отправляете ETH на скомпрометированный кошелек, боты конкурируют друг с другом чтобы как можно быстрее вывести новопришедшие ETH. Из-за этого никто не может вывести любые другие средства с кошелька. Они могут там застрять на продолжительное время.
Таких ботов называют ETH Sweepers. Для спасения средств необходимо обратиться в специальные службы, приведенные в статье об этих ботах.
Приведем несколько примеров и гипотетических ситуаций, когда третьи лица могут получить доступ к вашему приватному ключу.
Пользователи антидетект браузера Dolphin Anty потеряли средства со своих криптокошельков.
Хакеры могли извлечь Vault Data каждого из кошельков MetaMask и затем подобрать пароль (который устанавливает пользователь для защиты приватного ключа) при помощи вычислительных мощностей в виде ферм с видеокартами. Способ такого взлома разбирался в одной из наших статей. Особенность браузера Dolphin Anty в том, что вся информация хранится на облачном хранилище компании. Не стоит путать антидетект-браузеры с обычными (Chrome, Firefox, Opera и т.д.), где вся информация хранится только на вашем ПК.
Приватный ключ нельзя оставлять нигде в интернете. Не сохраняйте ключ в переписке с самим с собой во Вконтакте или Telegram, в Google Cloud и так далее, ведь в случае взлома вашего аккаунта или сервиса ваш приватный ключ также попадет в публичный доступ. Как пример, один из разработчиков на Ethereum случайно оставил свой приватный ключ в репозитории Github. Через час он потерял свои средства.
Заметки на телефоне тоже не самый надежный вариант. Телефон можно потерять, забыв вовремя сделать резервную копию. Ключи канут в лету, как и ваш телефон. Используя облачное хранение вы также можете столкнуться с кражей данных из заметок.
Приватные ключи нежелательно хранить на компьютере, если вы любите пользоваться неофициальными версиями платных программ. Хакеры любят распространять вредоносные программы («njRat») вместе с пиратским софтом, и если злоумышленник умело занимается криптованием вирусов, то даже ваш антивирус может не спасти вас от взлома. Причиной потери ключа могут быть не только хакеры. Ваш ноутбук могут форматировать, а ключи пропадут безвозвратно. Габриэль Эбед, предприниматель из Барбадоса, потерял около 800 биткоинов, когда в 2011 году коллега переформатировал ноутбук, в котором хранились секретные ключи от биткоин-кошелька.
Факт хранения seed-фразы на бумаге не защищает вас от ее утечки. Например, в США офицер полиции случайно слил в сеть ключ восстановления при обыске подозреваемого. Также вы можете просто потерять свои записи. Так произошло со Стефоном Томасом, программистом из Сан-Франциско. В 2011 году он потерял бумажку со своим ключом от кошелька с 7002 BTC.
Рассмотрим примеры методов хранения приватных ключей, начиная от самых простых и заканчивая наиболее сложными и безопасными.
Если вы не хотите хранить приватный ключ (или аналог к нему — seed-фразу) на бумаге, то можно рассмотреть способы хранения на ПК. Рекомендуем сохранять текстовые файлы с ключами в непримечательных файлах под такими же названиями — для этого очень хорошо подходят системные файлы. Например, файл C:\Program Files (x86)\Microsoft\binary.txt вряд-ли будет когда-либо обнаружен в случае, если злоумышленник получит доступ к вашим файлам.
Также вы можете записать ключ в файл с кодом и добавить его в папку с программой.
Можно рассмотреть способы хранения текстовиков в файлах игр или вместе с материалами для учебы. Очень важно не называть текстовики названиями, которые часто используются разработчиками (например bin.txt, temp.txt и т.д.), поскольку они могут случайно перезаписаться. Обязательно рассмотрите возможность хранения ключей на запасных носителях (flash-накопители). Так вы избежите кражи данных при взломе ПК. В этом случае важно не потерять носитель.
Можно заархивировать важные файлы в WinRAR архиве и задать ему пароль. Особенно остро проблема может стоять в случаях, когда вы храните приватные ключи на SSD диске, поскольку такие носители навсегда теряют информацию в случае поломки. Информацию из HDD дисков можно извлечь даже в случаях небольшого механического воздействия на них, а также такие носители защищены от воздействия коротким замыканием.
Существует возможность создания кошельков социального восстановления. Принцип прост — в случае, если вы потеряли доступ к кошельку, вы можете обратиться к своим доверенным лицам, которые могут восстановить средства при помощи мультиподписи. Такой способ хранения достаточно сложен и имеет некоторые недостатки.
Лучше всего хранить приватные ключи (или seed-фразы) на бумаге или других физических носителях. Однако не забывайте о возможности их потери. Сохранить носители можно в банке. Положите их в банковскую ячейку и живите спокойно. Данные, которые нужны для входа в кошелек, лучше дублировать и хранить дома. Так вам не нужно будет бежать в банк, а потеряв носители, которые были дома, вы все равно восстановите доступ после похода в банк.
Если вы храните на кошельках крупные суммы, то не забудьте позаботиться о их передаче по наследству. Подробнее об этом рассказано в статье нашей статье.
Будьте бдительны и крайне аккуратно и бережно храните свои ключи. Позаботиться о безопасности не так сложно, а вот вернуть потерянные средства будет невозможно.
Bitbanker — это криптовалютная платформа, которая предлагает легкий способ работы с криптовалютой. В Bitbanker можно купить или продать USDT, BTC, ETH, TRX, USDC, рубли, доллары, киргизские сомы и дирхамы ОАЭ. Свободные средства можно положить на депозит со ставкой до 8% годовых в USDT и рублях, а если есть потребность в деньгах, можно взять кредит. Для фрилансеров и онлайн-бизнеса есть криптоэквайринг.
3 самых простых и безопасных способа хранить seed-фразу
С самого первого дня, когда я создал кошелек в Минтере, я сразу же задумался над безопасностью хранения самого ценного — seed-фразы.
Seed-фраза — это замена пароля. Она генерируется автоматически при регистрации кошельков в блокчейнах. Ее нельзя изменить. Ее потеря приводит к полному отсутствию доступа к кошельку и невозможности восстановления этого доступа никакими способами.
Я неоднократно читал и слышал истории, как люди теряли свои seed-фразы и, в итоге, теряли огромные деньги навсегда. Такие ситуации уже происходят и в Минтере.
Решений хранения слов доступа пришло множество, но большую часть из них я забраковал ввиду того, что это были слишком сложные схемы, чтобы иметь возможность быстро и с любого устройства входить в кошелек в любой момент.
Способ первый: для терпеливых
Способ очень классный и вполне надежный, но требует вашего терпения. Seed-фразу нужно — запомнить!
Да, просто выучить наизусть. Это не так сложно, как может показаться на первый взгляд. Вспомните себя в школе — сколько страниц стихотворений вам пришлось выучить наизусть и рассказать? А тут всего-лишь несколько английских слов.
Основная трудность состоит в том, что слова не связаны друг с другом. Но, если ставить для себя ежедневную цель и выучивать даже по 2 слова в день, то через неделю вы уже будете легко по памяти воспроизводить вашу секретную фразу.
Надежность этого способа оцениваю в 9 из 10, поскольку в любом случае необходимо хранить дубликат фразы в написанном виде. Необходимо это для того, чтобы в случае потери памяти или каких-то других чисто физических проблем с мозгом — ваши средства не пропали навсегда.
Но, для ежедневного использования и ввода фразы на разных устройствах — этот способ подходит очень хорошо.
Способ второй: меняем местами
Еще один способ, который я придумал состоит в том, чтобы изменить местами несколько слов из seed-фразы. Допустим вы меняете местами первые 5 и последние 5 слов. Или первое и последнее слово. Или второе слово с шестым словом. Вариантов — миллионы.
Преимущество такого способа хранения фразы — вы можете ее хранить в открытом текстовом виде где-угодно: в облачных хранилищах, в Dropbox, в программах, которые могут синхронизироваться между разными устройствами. Подобрать слова назад, без знаний каким образом вы их поменяли местами — невозможно. Это будет практически равносильно тому, чтобы разгадать seed-фразу в принципе, потому-что комбинаций миллионы.
Недостатки этого способа состоят лишь в том, чтобы помнить точно какие слова и на какие вы поменяли.
Способ третий: умная замена
Этот способ полностью исключит возможность доступа к вашему кошельку для злоумышленников.
Суть способа — заменить 2–3 слова другими словами. Естественно, эти пару слов прийдется запомнить, но догадаться, что на что вы меняли — невозможно.
Компьютерный подбор слов в таком случае, тоже становится невозможным, потому-что нужно знать, какие именно слова вы заменили. А так, с виду обычных 12 английских слов. И только вы знаете, что, например, water это plum.
Даже, если вы будете хранить эту seed-фразу в открытом доступе в своих соцсетях или даже на вашем сайте — подобрать слова будет практически невозможно.
Просто, эффективно, надежно.
Вместо вывода
Я продумывал десятки вариантов хранения seed-фразы: от гравировки на металле до сложных шифрований текстовых файлов. Многие способы не достаточно мобильные и их тяжело применять, если нужно входить и выходить в кошелек на разных устройствах несколько раз в день. Другие способы — слишком сложные, чтобы с ними справились обычные пользователи без специфических знаний.
В итоге, остались эти 3 способа, которые невероятно простые и, в то же время, очень надежные.
Важный совет! Об этом говорят постоянно, когда дело касается финансов. Не храните все средства в одном месте. Создайте себе несколько кошельков и диверсифицируйте между ними свои монеты. Естественно, что seed-фразы от всех кошельков следует хранить в разных местах и в разных видах. Но, зато так вы обезопасите себя от потери сразу всего.
Надеюсь, что мои 3 совета по хранению seed-фраз, помогут новичкам и опытным гикам в сети Минтер, пересмотреть свое мнение на хранение этих важных ключей доступа к их деньгам.
Как обезопасить свои данные в системе PLATINCOIN: подробная инструкция по хранению ключей и паролей
Одна из наиболее частых проблем, с которой обращаются в службу поддержки PLATINCOIN, — потеря паролей и приватных ключей от кошельков, а также паролей от электронной почты.
Владельцы криптовалют нередко становятся жертвами хакеров — они взламывают электронные почты и криптокошельки пользователей, чтобы получить доступ к коинам. Так, согласно отчету от января 2020 года, с 2011 года злоумышленниками было украдено криптовалют на общую сумму $11 млрд. Пик количества взломов пришелся на 2019 год — тогда хакерам удалось украсть криптовалют на более чем $101 млн.
К сожалению, пользователи PLATINCOIN тоже становятся жертвами злоумышленников. И чаще всего причиной взлома становится слишком простой пароль от электронной почты: например, дата рождения или простая комбинация цифр.
В статье мы разберем популярные причины, по которым взламывают кошельки владельцев Platincoin, научим создавать по-настоящему безопасные пароли, а также поделимся лайфхаками по безопасному хранению паролей и приватных ключей.
Из-за каких ошибок пользователей мошенники получают
доступ к их криптовалюте
Лежащая в основе криптовалют технология блокчейна гарантирует безопасность пользовательских средств — транзакции в блокчейне невозможно подделать или отменить. Однако прозрачность блокчейна превращается в палку о двух концах — с одной стороны, все транзакции отражаются в блокчейне, с другой стороны — любой злоумышленник может заинтересоваться кошельком с большим количеством коинов на счете.
Еще одна проблема заключается в том, что сфера криптовалют на сегодняшний день не регулируется должным образом, и в случае кражи средств пользователю будет некуда обратиться за помощью. Именно поэтому держателям криптовалют важно соблюдать простые правила безопасности при хранении средств, о которых мы расскажем в этой статье. Но для начала давайте разберемся в самых распространенных причинах, по которым пользователи теряют свои средства:
- Пользователь хранит криптовалюту на бирже или в веб-версии кошелька.
Биржевые кошельки часто берут на прицел мошенники, потому что на них хранятся крупные суммы криптовалют. При этом далеко не на каждой площадке есть специальные фонды для компенсации украденных средств пользователям — чаще всего им приходится прощаться с подвергшимися хакерской атаке коинами. - Держатели криптовалют игнорируют дополнительные возможности защиты своих средств. Например, многие сервисы предлагают пользователям включить двухфакторную аутентификацию. Она не позволяет мошенникам получить доступ к вашему счету, даже если они узнали логин и пароль. Если отказаться от такой возможности, преступникам будет намного легче украсть деньги.
- Пользователи хранят логины и пароли на компьютере, подключенном к интернету. Если у компьютера есть выход в интернет, его можно взломать точно так же, как и криптовалютную биржу. Кроме того, при поломке компьютера можно потерять доступ к ключам, а значит — и к криптовалюте.
Опыт пользователей PLATINCOIN
Все кражи коинов и взломы личных кабинетов в PLATINCOIN происходят через электронную почту пользователей. Служба поддержки PLATINCOIN на основе всех обращений собрала статистику по взломам и выделила три главных ошибки пользователей, которые приводят к потере средств:
- использование одинаковых паролей к электронной почте и личному кабинету;
- хранение доступов к личному кабинету или к PLC Wallet в электронной почте;
- хранение данных от входа в документах Google Docs без паролей.
Для того чтобы вы избежали этих ошибок в будущем, мы подготовили для вас инструкцию по созданию надежного пароля.
Создаем надежный пароль
- Используйте сервисы по генерации сложных паролей
Для взлома почтовых ящиков мошенники используют автоматические алгоритмы, которые с точки зрения человеческого мозга кажутся простыми. Мы рекомендуем вам пользоваться сервисами автоматической генерации паролей, например сервисом от Лайфхакера . В нем пароли передаются по защищенному протоколу и не сохраняются в сервисах.
- Не используйте в пароле значимые имена и даты
Согласно данным специалистов по кибербезопасности, мошенники легко подбирают подобные пароли. Мы нашли для вас несколько неочевидных лайфхаков, которые помогут создать по-настоящему сложный пароль:
- Возьмите за основу первую строфу вашего любимого стихотворения, детской считалки или любимой пословицы. Главное, чтобы оно было не очень известным. Запишите первые буквы стихотворения, с учетом регистра и вставив между буквами знаки препинания, которые есть между ними в тексте. Следующий шаг — замените буквы на похожие цифры, например: « ч » на 4, а « о » на 0, а потом напечатайте строку на латинской раскладке клавиатуры.
Зима. Крестьянин, торжествуя,
На дровнях обновляет путь; → Z. K,t,Nd0p;
- Используйте в качестве пароля профессиональные термины, малоизвестные широкой аудитории, и попробуйте усложнить их:
палатализация заднеязычных → pa1ata1izatsiJAzadneJAzi4nih - Используйте неочевидные даты. Мошенники могут легко узнать ваш день рождения и дни рождения ваших близких. Поэтому в паролях лучше использовать неочевидные даты. Например, дату вашей первой встречи с домашним животным.
- Возьмите за основу принцип графического ключа, который используется в смартфонах. Мысленно начертите на клавиатуре рисунок. Получившуюся комбинацию клавиш используйте как пароль.
После того как вы придумали хорошие и сложные пароли для самых важных аккаунтов, их нужно надежно сохранить — записать или распечатать. Здесь нельзя полагаться на одну только память: пароль должен быть сохранен в нескольких местах. В следующей части статьи мы расскажем, как правильно хранить пароли.
Храним пароль правильно
Если вы храните пароль на носителе, подключенном к интернету, хакеры могут этим воспользоваться и украсть ваши данные. Альтернатива в этом случае — выбирать хранилище без доступа в интернет, например, лист бумаги с распечатанными паролями.
Есть также способы безопасного хранения паролей онлайн — с помощью специальных приложений-хранилищ. Они работают как сейф: чтобы получить доступ к хранилищу со всеми паролями, пользователю нужно ввести мастер-пароль. Подбирать и хранить его стоит особенно тщательно, ведь он дает доступ ко всем паролям в хранилище.
Топ-5 приложений для хранения паролей
Важно выбрать надежные хранилища паролей, которые точно не передадут ваши данные мошенникам.
Например:
- LastPass
Для iOS, Android, Windows, Linux, есть версии для браузеров.
Стоимость: есть бесплатная, пробная и платная версии.Во всех версиях приложения может храниться бесконечное число паролей, есть двухфакторная аутентификация и функция автозаполнения. В платной версии можно синхронизировать пароли на разных устройствах и поделиться засекреченными папками с близкими. В приложении можно сгенерировать неугадываемый пароль, а затем сохранить его.
- Dashlane
Для iOS, Android, Windows и Linux.
Стоимость: есть бесплатная и платная версии.Этот менеджер паролей — основной конкурент LastPass. Они схожи по функционалу. В Dashlane для всех версий доступны: менеджер паролей, автозаполнение и функции электронного кошелька. Для бесплатной версии установлен лимит на синхронизацию с другими устройствами. Безлимит доступен в платной версии.
- Zoho Vault
Для iOS, Android и Windows.
Стоимость: есть бесплатная и платная версии.Бесплатная версия предназначена для личного использования, платная — для командного. Во всех версиях приложения можно сохранять бесконечное количество паролей и заметок, также в нем сохраняется история доступа к паролям и история активности пользователей, доступна двухфакторная аутентификация.
- Sticky Password
Для iOS, Android и Windows.
Стоимость: есть бесплатная и платная версии.В приложении высокий уровень защищенности, так как его разрабатывала та же команда, что AVG Antivirus. В Sticky Password доступен вход по отпечатку пальца, а также синхронизация на нескольких устройствах.
Владельцам криптовалют важно правильно хранить не только пароль, но и приватный ключ.
Что такое приватные ключи и как их хранить
Приватный ключ — специальное сочетание символов, которое является сложной криптограммой. Такую криптограмму практически невозможно угадать или подобрать.
Он является аналогом подписи владельца криптовалютного кошелька. Тот, кто знает приватный ключ, получает неограниченный доступ к коинам на кошельке, поэтому важно, чтобы никто, кроме владельца кошелька, не знал этой информации.
Приватный ключ фактически представляет собой число от 1 до 10 в 77-й степени. На подбор такого пароля, даже если проверять триллион чисел в секунду, уйдет не меньше нескольких миллионов сроков существования Земли. Сейчас это обеспечивает очень высокую степень защиты, однако исследователи не исключают, что с развитием квантовых компьютеров появятся новые технологии взлома криптокошельков.
Для хранения ключей используются разные способы записи. Они называются « формат импорта кошелька » . Например, один и тот же ключ можно записать в трех разных видах:
К безопасности данных криптовалютного кошелька стоит подходить особенно тщательно: если мошенники получают доступ к вашему логину и паролю или приватному ключу, то они получают доступ и к вашим деньгам. Самый безопасный способ хранения с точки зрения взлома — на бумажном или электронном носителе без доступа в интернет. Однако в этом случае вы можете потерять доступ к своему кошельку в случае потери или повреждения носителя. Если вы решили хранить пароли онлайн, лучше делать это в специальном приложении, которое защитит данные от кражи мошенниками. Особенно важно обеспечить безопасность приватного ключа: он предоставляет владельцу неограниченный доступ к средствам, которые хранятся на кошельке. Если вы подозреваете, что приватный ключ стал известен третьим лицам, деньги нужно перевести на другой адрес.