Jak działa bezpieczeństwo portfeli przeglądarkowych?
Siema, od jakiegoś czasu grzebię trochę w krypto i strasznie męczy mnie jedna kwestia. Wszyscy trąbią, żeby trzymać swoje środki pod kluczem, a z drugiej strony każdy z nas na co dzień używa MetaMasków, Phantomów i innych cudów. Zastanawia mnie, jak tak naprawdę od kuchni działa bezpieczeństwo portfeli przeglądarkowych? Przecież to są tylko małe wtyczki wpięte w chroma czy firefoxa, gdzie na sąsiednich kartach odpalamy setki innych, czasem mega podejrzanych stron.
Czy klucze prywatne są jakoś totalnie odizolowane od reszty przeglądarki i środowiska systemu? Gdzie dokładnie to wszystko się zapisuje na dysku? W jakimś zwykłym local storage, które pierwsza lepsza złośliwa strona może jakoś łatwo wyciągnąć, jeśli przypadkiem kliknę w trefny link na discordzie? Zawsze mnie ciekawiło, czy jak mam zainstalowane jakieś inne, totalnie śmieciowe rozszeżenia do przeglądarki, to one mogą mieć wgląd w to, co mieli mój portfel krypto.
Wiadomo, twój klucz to twój hajs, no ale na dobrą sprawę powierzamy ten klucz apce napisanej w JSie. Czy takie portfele przeglądarkowe szyfrują seed phrase wyłącznie za pomocą tego mojego prostego hasła, które wklepuję przy odblokowywaniu wtyczki? Jeśli ktoś tu ogarnia temat od strony devowej albo sam audytował kod takich apek, niech rzuci trochę światła na to, jak działa to całe bezpieczeństwo. Chcę po prostu ogarnąć, czy używanie gorącego portfela bez podpiętego sprzętowego ledgera to nie jest proszenie się o drenaż konta. Z góry wielkie dzięki za rozjaśnienie tematu!
Zarabiaj na wzrostach i spadkach ⚡
Kontrakty z dźwignią, niskie prowizje i do 20 € za depozyt.
2 Odpowiedź
Siema! Mega dobre pytanie i szczerze mówiąc, mało kto wchodzi aż tak głęboko w temat, dopóki nie straci hajsu. Odpowiadając krótko: tak, masz rację, że powierzanie oszczędności życia wtyczce napisanej w JS to trochę jazda po bandzie, ale da się to robić z głową. Zacznijmy od tego, jak działa ochrona portfeli w przeglądarce od kuchni.
Twój seed i klucze prywatne faktycznie siedzą na twoim dysku, ale to nie jest takie zwykłe, otwarte local storage, do którego wgląd ma pierwsza lepsza strona. Przeglądarki oparte na Chromium (Chrome, Brave, Edge) mają coś takiego jak izolowane środowisko dla wtyczek (tzw. sandbox). Dane twojego portfela są zapisywane w specjalnym pliku na dysku (często nazywanym vault) i są tam zaszyfrowane.
No i tu pojawia się odpowiedź na twoje drugie pytanie. Tak, to szyfrowanie opiera się wyłącznie na tym haśle, które wpisujesz przy odblokowywaniu! Jeśli masz hasło typu „krypto123”, to jak ktoś jakimś cudem wyciągnie twój plik z dysku, złamie go w ułamek sekundy i po ptokach.
Zabezpieczenia wtyczek krypto opierają się na wspomnianej izolacji, ale jest tu jedno wielkie ALE. Inne rozszerzenia! Jeśli instalujesz jakieś śmieciowe add-ony do blokowania reklam od noname’ów albo darmowe VPN-y, które wymuszają uprawnienia typu „odczyt i zmiana wszystkich danych na odwiedzanych witrynach”, to sam robisz sobie wielką dziurę. Wiele drenaży hot walletów bierze się stąd, że złośliwa wtyczka po cichu podmienia adresy przy kopiowaniu (clipboard hijacking) albo zachowuje się jak keylogger, kiedy wpisujesz hasło do Metamaska.
Co do klikania w lewe linki na Discordzie czy Twitterze – samo wejście na stronę zazwyczaj nie wyciągnie ci kluczy prywatnych przez przeglądarkę, bo ten sandbox to w miarę dobrze trzyma. Problem w tym, że te strony to świetnie zakamuflowany phishing. Odpalają się złośliwe smart kontrakty, ty klikasz „Approve” myśląc, że mintujesz NFT albo odbierasz airdropa, a tak naprawdę dajesz im nielimitowany dostęp do swoich tokenów na chainie. Twój klucz jest bezpieczny na dysku, ale co z tego, skoro sam dałeś hakerowi autoryzację do wydawania twojego hajsu?
Więc jeśli pytasz, czy trzymanie większej kasy na samym hot wallecie to proszenie się o kłopoty, to powiem wprost: tak. Bezpieczeństwo portfela przeglądarokwego drastycznie rośnie dopiero wtedy, gdy sparujesz go z fizycznym Ledgerem czy Trezorem. Wtedy Phantom czy MetaMask służą tylko jako głupi interfejs graficzny. Wtyczka nie ma pojęcia, jaki jest twój seed, bo ten nigdy nie opuszcza sprzętowego pendrive’a. Nawet jak złapiesz jakiegoś potężnego wirusa na kompie, to bez fizycznego wciśnięcia guzików na Ledgerze haker niczego nie wyśle.
Dobra rada na koniec: zrób sobie osobny, czysty profil w przeglądarce tylko pod krypto bez żadnych innych wtyczek, wymyśl pancerne hasło do odblokowywania i dokup portfel sprzętowy do wszystkiego, co jest warte więcej niż stówka na waciki. Trzymaj się tam bezpiecznie!
Zarabiaj na wzrostach i spadkach ⚡
Kontrakty z dźwignią, niskie prowizje i do 20 € za depozyt.
Siemka, ziomek wyżej ładnie rozpisał temat od strony przeglądarki, ale ja dorzucę coś z zupełnie innej beczki. Skupiliście się na sandboxach i lewych wtyczkach, a totalnie pomijacie najgorszy syf, czyli złośliwy soft na poziomie samego systemu operacyjnego. Z mojego doświadczenia wynika, że to właśnie tutaj najczęściej leci hajs.
Jak załapiesz trojana typu infostealer (np. z jakiegoś pirackiego softu, cracka czy nawet lewego załącznika z maila), to całe bezpieczeństwo portfeli przeglądarkowych po prostu przestaje istnieć. Taki wirus ma totalnie gdzieś izolację w Chrome czy Brave. On wchodzi na pełnej, pakuje w ukrytą paczkę całe foldery z danymi wtyczek z twojego dysku (właśnie ten zaszyfrowany plik z kluczami), zasysa ciasteczka i wysyła to wszystko do hakera. Jeśli miałeś prostego keyloggera na kompie albo – o zgrozo – hasło do odblokowania wtyczki trzymałeś w menedżerze haseł samej przeglądarki, to gość ma od razu twój sejf i kod do niego. Pieniądze znikają w kilka minut.
Druga sprawa, o której mało kto myśli, to mechanizm aktualizacji. Zastanawiałeś się kiedyś, co się stanie, jeśli ktoś włamie się na konto devów na githubie? Wtyczki w przeglądarce zazwyczaj updatują się same, automatycznie w tle. W historii krypto były już takie akcje z różnymi apkami. Budzisz się rano, a twoja zaufana wtyczka z automatu pobrała złośliwy kod z oficjalnego sklepu i wyczyściła ci saldo. Kod JS to tylko kod, powierzasz kasę oprogramowaniu, które może się zmienić bez twojej wiedzy i zgody.
Dodatkowo, z własnego podwórka polecam ci sprawdzić Rabby Wallet zamiast oklepanego Metamaska. Mają tam mega wbudowaną opcję symulacji transakcji przed jej podpisaniem. Zanim w ogóle cokolwiek klepniesz na jakimś dexie, wyskakuje ci na ekranie chamskie, proste info: „oddajesz 1 ETH, dostajesz 0”. Od razu widać, że strona, na której jesteś, próbuje cię oskubać z tokenów.
Więc tak, portfel jako wtyczka to super sprawa do codziennego latania po sieci, ale zrób dla siebie przysługę. Przenieś wszytsko co ma dla ciebie jakąś wartość na zewnętrzny, fizyczny sprzęt. Gorące portfele w przeglądarce traktuj jak zwykły skórzany portfel w tylnej kieszeni spodni – nosisz w nim drobne na kebsa, a nie oszczędności życia.
Zarabiaj na wzrostach i spadkach ⚡
Kontrakty z dźwignią, niskie prowizje i do 20 € za depozyt.
