Wat zijn Vulnerable Keys?
Vulnerable Keys zijn cryptosleutels die makkelijk te stelen, raden of onthullen zijn door slechte opslag, zwakke willekeurigheid of menselijke fouten. Als iemand ze in handen krijgt, kunnen ze je munten verplaatsen alsof ze van hen zijn. Denk aan huissleutels onder de deurmat die je op je verhaal zet, maar dan met minder buren en meer bots die meekijken.
Als ik mijn sleutels aan niemand vertel, ben ik veilig. Niet helemaal. Malware, valse walletpopups, cloudbackups en geplakte zinnen kunnen sterke sleutels toch in Vulnerable Keys veranderen zonder dat jij iets zegt.
Hoe Vulnerable Keys werken
Dit is de typische glijdende schaal van veilig naar spijt. Korte versie, maar echt.
- Stap 1: Je maakt een wallet, die je Herstelsleutels en de onderliggende Privésleutels geeft.
- Stap 2: Blootstelling sluipt binnen door slordige opslag, geïnfecteerde apparaten of slimme zwendel zoals Phishingaanvallen.
- Stap 3: Een aanvaller bemachtigt de sleutels of een seed en begint transacties te ondertekenen die jij nooit hebt goedgekeurd.
- Stap 4: Fondsen verplaatsen zich naar adressen die zij beheren, en de keten accepteert de handtekening als geldig.
- Stap 5: Je ziet vreemde uitgaande transacties en haast je om eventuele restanten naar een nieuwe wallet te verplaatsen.
Lelijk, snel, en te voorkomen met een paar gewoonten.
Waarom Vulnerable Keys ertoe doen
Waarom zou je er aandacht aan besteden? Omdat sleutels de poortwachters zijn van alles wat je op de keten bezit.
- Voordeel: Sterke gewoonten houden je munten, NFT's en identiteit onder jouw controle, niet die van iemand anders.
- Perspectief: Aanvallers richten zich op gedrag, niet alleen op techniek, en ze hebben maar één fout nodig om te winnen.
- Relevantie: Je ziet sleutels in wallets, dapps, exchanges en zelfs DAOs; je kunt je Publieke sleutels veilig delen maar nooit de privézijde.
Beveilig e-mail, exchangeaccounts en wachtwoordmanagers met Meervoudige verificatie (MFA), en bewaar daarna seeds offline, nooit in screenshots of chats.
Belangrijke kenmerken van Vulnerable Keys
Wat een sleutel onbetrouwbaar maakt:
- Blootstelling: Opgeslagen als platte tekst, foto's of cloudaantekeningen die makkelijk te bemachtigen zijn.
- Entropie: Zwakke willekeurigheid of voorspelbare zinnen maken raden mogelijk.
- Herbruik: Dezelfde sleutel op meerdere ketens of wallets betekent één compromis, veel verlies.
- Apparaten: Geïnfecteerde telefoons en laptops lekken geheimen via malware en valse invoer.
- Backups: Geplakte seeds in e-mail of documenten worden vrije buit na één accountinbraak.
Variaties
Verschillende manieren waarop sleutels in het gevaar komen:
- Zwak: Een seed met weinig willekeur of een slappe generator maakt raden realistisch.
- Gelekt: Herstelzin gepost, gesynchroniseerd of gevist, en daarna door bots verzameld.
- Herhaald gebruik: Eén sleutel hergebruikt in apps of ketens, waardoor één compromis zich verspreidt.
- Vanity: Aangepaste adressen gemaakt met foutieve tools die de beveiliging verminderen.
- Gedeeld: Meerdere mensen slaan de seed op of sturen deze, en één persoon maakt een fout.
Als iemand de privésleutel heeft, kan diegene de fondsen verplaatsen. Er is geen knop om het ongedaan te maken en support kan een ondertekende transactie niet terugdraaien.
Voorbeeld
Een gebruiker plakt een seed in een valse walletimportpagina, bots vegen het binnen enkele minuten weg, en de Vulnerable Keys stellen aanvallers in staat tokens en NFT's direct leeg te halen.
Leuk feit
Onderzoekers hebben ooit zwakke brain wallets leeggeroofd door veelvoorkomende zinnen op grote schaal te proberen, en een bug in een vanityadrestool stelde later aanvallers in staat sleutels te raden voor een grote market maker, wat bewijst dat stijl zonder beveiliging duur kan zijn.
Samenvatting
Korte versie voor je geheugen: bescherm sleutels vanaf de bron, want Vulnerable Keys veranderen je wallet in die van hen, ja, zo simpel is het.