Čo sú zraniteľné kľúče?

Zraniteľné kľúče sú kryptokľúče, ktoré je ľahké ukradnúť, uhádnuť alebo zverejniť kvôli zlej úschove, slabému náhodnému písmu alebo ľudským pochybeniam. Ak ich niekto získa, môže presunúť vaše mince, akoby boli jeho. Predstavte si domové kľúče pod rohožkou, čo sú zverejnené na vašom príspevku, len s menej susedmi a viac botov, ktoré sledujú všetko.

Mýtus

Ak nikomu neprezradím svoje kľúče, som v bezpečí. Nie úplne. Malware, falošné vyskakovacie okná peňaženky, offline zálohy a vložené frázy môžu aj tak zmeniť silné kľúče na zraniteľné kľúče bez toho, aby si povedal slovo.

Ako fungujú zraniteľné kľúče

Tu je typický prechod od bezpečného k nebezpečnému. Krátka verzia, ale skutočná.

Krok 1: Vytvoríte peňaženku, čo vám dá Rekovery kľúče a podkladové súkromné kľúče.
Krok 2: Expozícia nastáva cez neporiadnu úschovu, infikované zariadenia alebo premyslené podvody ako Phishing útoky.
Krok 3: Útočník zachytí kľúče alebo seed a začne podpisovať transakcie, ktoré ste nikdy neodsúhlasili.
Krok 4: Prostriedky sa presúvajú na adresy, ktoré kontrolujú, a reťazec prijíma podpis ako platný.
Krok 5: Zaznamenáte podivné odchody a ponáhľate sa presunúť zvyšky na čerstvú peňaženku.

Ošmatlané, rýchle a dá sa to vyhnúť niekoľkými návykmi.

Prečo by mali zraniteľné kľúče záujem

Prečo by ste sa o to mali zaujímať? Pretože kľúče sú brány ku všetkému, čo vlastníte na reťazi.

Výhoda: Silné návyky udržujú vaše mince, NFT a identitu pod vašou kontrolou, nie niekoho iného.
Perspektíva: Útočníci ciele na návyky, nielen na techniku, a stačí im jeden pošmyknutie, aby vyhrali.
Relevantnosť: Kľúče uvidíte vo walletoch, dapps, burzách, dokonca aj DAO, a môžete bezpečne zdieľať Verejné kľúče, ale nikdy súkromnú stranu.

Tip

Uzamknite e-mail, prihlasovanie do burzy a správcu hesiel s Viacfestovnou autentifikáciou (MFA), potom nechajte seed offline, nikdy na snímkach obrazovky alebo v chatoch.

Kľúčové charakteristiky zraniteľných kľúčov

Čo robí kľúč nestabilným na prvom mieste:

Expozícia: Uložené ako čistý text, fotky alebo cloudové poznámky, ktoré sa dajú ľahko chytiť.
Entropia: Slabý náhodný generátor alebo predvídateľné frázy robia uhádnutie možné.
Opakované použitie: Rovnaký kľúč na viacerých reťaziach alebo peňaženkách znamená jeden zásah, mnoho strát.
Zariadenia: Infikované telefóny a notebooky unikajú tajomstvá cez malware a falošné vstupy.
Zálohy: Vložené seed frázy v e-maile alebo dokumentoch sa stávajú voľným lupom po jednom zlyhaní účtu.

Variácie

Rôzne spôsoby, ako sa kľúče dostanú do zóny nebezpečenstva:

Slabý: Nízke náhodné semeno alebo laxný generátor robí uhádnutie realistickým.
Uniknutý: Seed fráza zverejnená, synchronizovaná alebo phishingom, potom zoškrabaná botmi.
Opätovne použitý: Jeden kľúč recyklovaný naprieč aplikáciami alebo reťazami, takže jeden kompromis sa šíri.
Venušný: Roztomilé vlastné adresy vytvorené pomocou chybových nástrojov, ktoré znižujú bezpečnosť.
Zdieľaný: Viac ľudí skladuje alebo posiela seed a jeden človek pochybuje.

Pripomienka

Ak niekto drží súkromný kľúč, môže presunúť prostriedky. Neexistuje tlačidlo Späť a podpora nemôže vrátiť podpísanú transakciu.

Príklad

Používateľ vloží seed na falošnú stránku importu peňaženky, boty ho vyzbierajú v priebehu pár minút a zraniteľné kľúče umožnia útočníkom okamžité vyprázdnenie tokenov a NFT.

Zaujímavé fakty

Výskumníci kedysi vyprázdnili slabé brain wallets skúšaním bežných fráz na veľkú škálu, a bug nástroja na vanitné adresy neskôr umožnil útočníkom uhádnuť kľúče pre významného market makera, čo ukazuje, že štýl bez bezpečnosti môže byť veľmi drahý.

Zhrnutie

Krátka verzia pre vašu pamäť: chráňte kľúče už na zdroji, pretože zraniteľné kľúče premenia vašu peňaženku na ich, áno, tak jednoducho.

Vulnerable Keys