Najczęstsze błędy zabezpieczania krypto i jak je sprawdzić

Większość utraconych kryptowalut nie zginęła przez geniusza od włamań. Zginęła przez kartkę, która zamokła, hasło, którego nikt nie pamiętał, albo link, który ktoś kliknął w pośpiechu. Poniżej dwanaście błędów, które widzimy najczęściej, każdy z testem, jak sprawdzić go u siebie. Test nigdy nie wymaga pokazywania seedu komukolwiek.

Szerszy obraz opisuje filar jak zabezpieczyć kryptowaluty. Wersja do wydrukowania to checklista 10 kroków.

1. Jedna kopia seedu

Seed zapisany raz, w jednym miejscu. Woda, ogień, włamanie albo zwykłe sprzątanie kończą sprawę. To jednocześnie błąd najczęstszy i najtańszy do naprawienia.

Jak sprawdzić u siebie: policz miejsca, w których leży kopia, i budynki, w których się znajdują. Zapytaj też, czy w razie pożaru w mieszkaniu ocalałaby choć jedna kopia, i czy wiesz, jak do niej dojść, gdy nie ma Cię w domu. Jeśli odpowiedź to „jedno miejsce”, zrób drugą kopię i schowaj w innym budynku. Zasady opisuje poradnik seed phrase: jak przechowywać.

2. Seed w telefonie, w chmurze albo w mailu

Zdjęcie, notatka, plik, wiadomość do siebie. Każda z tych rzeczy trafia na urządzenie z internetem i zwykle do kopii zapasowej w chmurze. Trezor zaleca, żeby nigdy nie przechowywać kopii seedu cyfrowo, bo takie kopie można zrobić bez wiedzy właściciela.

Jak sprawdzić u siebie: wyszukaj w galerii telefonu, w notatkach, w mailu i w menedżerze haseł słów z seedu (jedno lub dwa, nie całość). Przeszukaj też nazwy plików na komputerze. Jeśli coś znajdziesz, usuń to wszędzie, również z kosza i z chmury. Sprawdź też, czy telefon wykonuje automatyczne kopie zapasowe zdjęć i notatek: zdjęcie usunięte z galerii mogło już trafić do chmury. Jeśli plik był w chmurze lub w poczcie, załóż, że mógł wyciec, i rozważ nowy portfel z nowym seedem.

3. Brak testu odzyskiwania

Kopia, która nigdy nie została użyta, może mieć literówkę, brakujące słowo albo zamienioną kolejność. Dowiesz się o tym, gdy będzie za późno.

Jak sprawdzić u siebie: wykonaj odtworzenie portfela z kopii na urządzeniu po resecie lub na drugim urządzeniu i porównaj pierwszy adres z oryginałem. Jeśli nigdy tego nie robiłeś, to jest błąd numer jeden do naprawienia w tym tygodniu. Kroki są w poradniku o przechowywaniu seed phrase.

4. Passphrase, którą zna tylko właściciel

Passphrase to dodatkowe hasło do portfela. Według BIP39 każde hasło tworzy poprawny, ale inny portfel, więc słowa seedu z błędną passphrase otwierają pusty portfel i nic nie ostrzega o pomyłce. Jeśli passphrase istnieje tylko w Twojej głowie, po Twojej śmierci środki są nie do odzyskania.

Jak sprawdzić u siebie: odpowiedz na pytanie, gdzie jest zapisana passphrase i czy osoba, która ma Ci pomóc, wie, że ona istnieje. Sprawdź też, czy dokładnie ją wpiszesz, łącznie z wielkością liter i spacjami. Więcej w poradniku passphrase i 25. słowo.

5. Seed i passphrase w jednym miejscu

Passphrase miała dać ochronę, gdy ktoś znajdzie kartkę ze słowami. Jeśli leży na tej samej kartce albo w tej samej kopercie, nie chroni niczego.

Jak sprawdzić u siebie: sprawdź, czy kopia seedu i zapis passphrase leżą w osobnych miejscach i czy ktoś, kto znajdzie jedno, nie znajdzie drugiego.

6. Wszystko na giełdzie

Konto giełdowe to saldo w cudzej bazie danych, nie własne klucze. Giełda może zamrozić konto, wymagać weryfikacji, której nie przejdziesz, albo przestać działać. Po śmierci właściciela rodzina musi przejść procedurę giełdy, o ile w ogóle wie, że konto istnieje. Szczegóły opisuje filar giełda czy własny portfel.

Jak sprawdzić u siebie: zrób listę giełd i kont, na których masz środki, oraz kwotę na każdym. Zapytaj siebie, ile z tego mógłbyś stracić bez szkody dla planów. Resztę rozważ przeniesienie na własny portfel.

7. Urządzenie z gotowym seedem lub z niepewnego źródła

Portfel sprzętowy z kartką „seed do zapisania” w pudełku, kupiony z drugiej ręki lub od nieznanego sprzedawcy, to klasyczna pułapka. Ktoś, kto zna seed, opróżni portfel po wpłacie.

Jak sprawdzić u siebie: sprawdź, od kogo kupiłeś urządzenie, czy kupiłeś je u producenta lub w autoryzowanym sklepie i czy opakowanie było zaplombowane. Upewnij się, że seed wygenerował Twój sprzęt przy pierwszym uruchomieniu, a nie wpisałeś go z kartki dostarczonej przez sprzedawcę. Jeśli masz wątpliwości, przenieś środki na nowy portfel z nowym urządzeniem od producenta.

8. Wpisywanie seedu „do sprawdzenia” lub „do wsparcia”

Fałszywe strony, fałszywe aplikacje i „pracownicy wsparcia” proszą o seed pod pretekstem weryfikacji, synchronizacji albo naprawy. To zawsze oszustwo. Trezor zaznacza, że nigdy nie prosi o recovery seed, PIN ani passphrase.

Jak sprawdzić u siebie: przypomnij sobie, czy kiedykolwiek wpisałeś swoje słowa na stronie lub w aplikacji, która nie jest oprogramowaniem producenta wgranym z jego oficjalnej strony. Jeśli tak, uznaj seed za spalony i przenieś środki na nowy portfel.

9. Zła kopia w multisigu: tylko seedy bez konfiguracji

To błąd dotyczący portfeli 2 z 3. Dokumentacja Nunchuka wymienia do odzyskania portfela seedy w liczbie równej progowi podpisów oraz plik konfiguracji portfela. Z dwóch seedów nie wyliczysz klucza publicznego trzeciego uczestnika, a bez niego portfel nie pokaże właściwych adresów.

Jak sprawdzić u siebie: sprawdź, czy masz plik konfiguracji (w Nunchuku w formacie BSMS) i czy leży w co najmniej dwóch miejscach. Szczegóły są w poradniku portfel multisig 2 z 3.

10. Nikt z rodziny nie wie

Najlepsze zabezpieczenie, o którym nikt nie wie, w razie śmierci właściciela równa się utracie. Środki są w sieci, ale nikt ich nie znajdzie ani nie ruszy.

Jak sprawdzić u siebie: zapytaj w myślach, kto z bliskich wie, że masz krypto, gdzie leży kopia i co ma zrobić. Zapytaj też, czy ta osoba poradziłaby sobie bez Twojej pomocy, bo „wie, że coś mam” to za mało. Jeśli odpowiedź to „nikt” albo „ktoś wie, że coś mam”, napisz krótką instrukcję. Co powinna zawierać, opisuje poradnik instrukcja dostępu dla rodziny: co zawiera. Kwestie prawne to sprawa notariusza lub prawnika.

11. Zapomniane urządzenie i oprogramowanie

Portfel sprzętowy wymaga czasem aktualizacji oprogramowania, a aplikacje do obsługi zmieniają się z roku na rok. Urządzenie leżące w szufladzie pięć lat może nie współpracować z aktualnym programem, a rodzina nie będzie wiedziała, której wersji szukać.

Jak sprawdzić u siebie: sprawdź, kiedy ostatnio włączyłeś urządzenie i uruchomiłeś program. Zapisz model urządzenia, nazwę programu i wersję w instrukcji dla rodziny. Raz w roku zrób test odzyskiwania. W usłudze opieka robimy to razem z Tobą.

12. Pośpiech przy pierwszej wpłacie

Ludzie kupują portfel, generują seed, zapisują go w pośpiechu i od razu wpłacają całość. Jeśli w zapisie jest błąd albo urządzenie okaże się wadliwe, dowiadują się o tym przy próbie wypłaty, po miesiącach.

Jak sprawdzić u siebie: przypomnij sobie, czy przy zakładaniu portfela wpłaciłeś najpierw drobną kwotę i czy przed wpłatą głównej sumy odtworzyłeś portfel z kopii. Jeśli nie, zrób to teraz, przy obecnej kwocie, dopóki środków nie trzeba nigdzie przenosić na szybko. Potem wyślij z portfela małą transakcję testową na adres, który kontrolujesz, i sprawdź, że dotarła.

Błąd, objaw, co zrobić dziś

Tabela zbiera to samo w skrócie. Objaw to sygnał, że błąd Ciebie dotyczy, a ostatnia kolumna to pierwszy krok, który możesz zrobić jeszcze dziś.

Błąd	Objaw	Co zrobić dziś
Jedna kopia seedu	Odpowiedź „jedno miejsce” na pytanie, gdzie leżą kopie	Zrób drugą kopię i schowaj ją w innym budynku
Seed w telefonie, chmurze, mailu	Słowa wyszukują się w galerii, notatkach lub poczcie	Usuń wszędzie, rozważ nowy portfel z nowym seedem
Brak testu odzyskiwania	Nigdy nie odtwarzałeś portfela z kopii	Odtwórz portfel z kopii na urządzeniu po resecie
Passphrase znana tylko właścicielowi	Nie ma jej zapisu poza Twoją głową	Zapisz ją i trzymaj osobno od seedu
Seed i passphrase razem	Obie rzeczy leżą w jednej kopercie	Rozdziel je do dwóch miejsc
Wszystko na giełdzie	Saldo na koncie giełdowym przekracza to, co możesz stracić	Przenieś nadwyżkę na własny portfel
Urządzenie z niepewnego źródła	Pudełko było otwarte lub zawierało gotowy seed	Przenieś środki na nowy portfel z nowego urządzenia
Seed wpisany na obcej stronie	Pamiętasz, że wpisałeś słowa poza oprogramowaniem producenta	Uznaj seed za spalony i przenieś środki
Multisig bez pliku konfiguracji	Masz seedy, ale nie masz deskryptora	Wyeksportuj konfigurację, wydrukuj i trzymaj przy kopiach kluczy
Rodzina nie wie	Nikt poza Tobą nie zna miejsca kopii	Napisz krótką instrukcję bez seedu
Zapomniane urządzenie	Nie pamiętasz, kiedy ostatnio je włączałeś	Włącz, zaktualizuj i zapisz model oraz wersję programu
Pośpiech przy pierwszej wpłacie	Wpłaciłeś całość bez testu	Wyślij transakcję testową i odtwórz portfel z kopii

Dlaczego te błędy się powtarzają

Wszystkie wynikają z jednego: seed wydaje się kartką, a nie kluczem do majątku. Ludzie traktują go tak, jak traktują zapasowy klucz do mieszkania, i chowają w pierwszej wygodnej szufladzie. Do tego dochodzi wygoda. Zdjęcie w telefonie jest łatwiejsze niż wybijanie liter w stali, a hasło w głowie łatwiejsze niż zapis w drugim miejscu.

Żaden z tych błędów nie świadczy o niedbałości. Wszystkie da się naprawić bez specjalistycznej wiedzy, jeśli ktoś wskaże, od czego zacząć. Dlatego lista z jednym testem przy każdym punkcie sprawdza się lepiej niż ogólna rada „zabezpiecz seed”.

Co zrobić, gdy znajdziesz błąd

Znalezienie błędu oznacza, że test zadziałał. Dalej liczy się kolejność działań.

Jeśli seed mógł wyciec, czyli był na zdjęciu, w mailu albo na obcej stronie, naprawa kopii nie wystarczy. Stary seed nadal otwiera stary portfel. Utwórz nowy portfel z nowym seedem na swoim urządzeniu, zrób jego kopię i dopiero wtedy przenieś środki. Nie zostawiaj tego na później, bo każdy dzień z wyciekłym seedem to okazja dla każdego, kto go widział.

Jeśli seed nie wyciekł, a kopia po prostu jest jedna albo niesprawdzona, nic nie musisz przenosić. Zrób drugą kopię i test odtworzenia. To zwykle godzina pracy.

Jeśli problem dotyczy rodziny, czyli nikt nie wie, co masz, wystarczy krótka notatka z miejscem kopii i nazwą programu. Seedu w niej nie umieszczasz.

Jeśli nie jesteś pewien, czy dany błąd dotyczy Twojego układu, nie działaj na oślep. Najgorsze, co możesz zrobić, to przenosić środki w pośpiechu i pomylić adres.

Jak pracować z tą listą

Nie próbuj naprawiać wszystkiego jednego wieczoru. Zacznij od błędów, które mają największy wpływ i najmniejszy koszt:

1. Druga kopia seedu w innym miejscu (błąd 1).
2. Usunięcie cyfrowych śladów seedu (błąd 2).
3. Test odzyskiwania (błąd 3).
4. Jedno zdanie dla jednej bliskiej osoby (błąd 10).

Reszta zależy od Twojego układu. Jeśli nie wiesz, które punkty Cię dotyczą, najszybciej ustali to check-up: godzina rozmowy online od 50 €, po której dostajesz listę ryzyk od najpilniejszego. Nigdy nie widzimy Twojego seedu ani kluczy.