Prišla vám správa, že musíte okamžite zabezpečiť účet? Alebo sa v peňaženke objavil token s návodom na vyzdvihnutie odmeny? Najskôr zastavte automatickú reakciu. Útočník často nepotrebuje prelomiť zabezpečenie: snaží sa dosiahnuť, aby ste mu sami odovzdali údaje alebo schválili neželaný úkon.
Po nákupe, prvom prevode a zálohovaní peňaženky sa preto pozrieme na každodenné používanie. Samotný odkaz, pripojenie stránky a podpis oprávnenia nie sú rovnaké udalosti. Rozdiel medzi nimi určuje aj ďalší postup.
Phishing sa začína dôveryhodne vyzerajúcou správou
Phishing je podvodné predstieranie identity s cieľom vylákať údaje alebo nebezpečné konanie. Prichádza cez e-mail, SMS, súkromné správy aj reklamu vo vyhľadávači. Odkaz môže viesť na napodobeninu burzy, peňaženky či zákazníckej podpory.
Logo sa dá skopírovať. Overovací odznak ani počet sledovateľov nepotvrdzujú pravosť konkrétnej ponuky alebo bezpečnosť odkazu. Známa tvár vo videu tiež nestačí: podobizeň a hlas možno zneužiť alebo upraviť pomocou umelej inteligencie. Ani bezchybná slovenčina už nie je spoľahlivým rozlišovacím znakom.
Podporu kontaktujte cez nezávisle otvorenú oficiálnu aplikáciu alebo overenú stránku. Nepoužite kontakt priložený v podozrivej správe. Doménu porovnajte s overeným zdrojom, skontrolujte preklepy, zamenené znaky aj presmerovanie. Výskyt názvu burzy niekde v dlhej adrese ešte neznamená, že stránka patrí burze. Zabezpečené spojenie HTTPS nepotvrdzuje poctivosť prevádzkovateľa.
Modelový príklad č. 1: Peter dostane súkromnú správu od údajnej podpory. Profil má známe logo a tvrdí, že výbery budú zablokované, ak okamžite „neoverí peňaženku“. Odkaz žiada obnovovaciu frázu alebo inštaláciu programu na vzdialený prístup. Peter komunikáciu preruší a stav účtu preverí cez samostatne otvorenú aplikáciu. Frázu ani prístup do zariadenia neposkytne.
Varovnými signálmi sú časový tlak, garantovaný výnos, žiadosť o tajné údaje a platba na údajné „odomknutie výberu“. Bežný výberový poplatok podľa overeného cenníka je iná vec než dodatočná platba neznámej osobe pod zámienkou dane, poistenia či záchrany účtu.
Pripojenie, podpis a prevod majú rozdielne následky
Pri peňaženkách na Ethereu a podobných sieťach treba rozlišovať štyri úkony. Na iných sieťach sa mechanizmy a názvy môžu líšiť.
Samotné bežné pripojenie peňaženky sprístupní stránke vybrané verejné údaje, napríklad adresu, a umožní jej predkladať požiadavky. Samo osebe jej nedáva všeobecné právo vyberať aktíva. Neznamená to však, že podozrivú stránku možno považovať za bezpečnú.
Podpis správy potvrdzuje určité údaje vaším kľúčom. Môže slúžiť na prihlásenie, ale podľa obsahu aj na povolenie neskoršej operácie. Neprítomnosť sieťového poplatku preto nie je zárukou neškodnosti. Pri mechanizmoch typu permit môže niekto za splnenia príslušných podmienok použiť podpis neskôr a zaplatiť sieťový poplatok sám.
Oprávnenie na nakladanie s tokenmi, označované ako approval alebo allowance, umožňuje určenému kontraktu používať konkrétne tokeny v stanovenom rozsahu. Smart kontrakt je program na blockchaine. Oprávnenie môže povoľovať určitú sumu alebo veľmi vysoký limit; pri NFT sa môže týkať aj celej kolekcie.
Odoslanie transakcie zase môže priamo previesť aktíva alebo vykonať operáciu v kontrakte. Aj udelenie oprávnenia býva transakciou, takže tieto kategórie sa čiastočne prekrývajú. Rozhodujúci je skutočný obsah požiadavky, nie text tlačidla „Overiť“ na stránke.
Darovaný token nemusí byť odmena
Airdrop znamená distribúciu tokenov používateľom. Samotné prijatie nevyžiadaného tokenu alebo NFT automaticky neznamená, že útočník získal vaše kľúče. Verejnú adresu možno použiť na zaslanie aktíva bez toho, aby ste oň žiadali.
Pasca môže nasledovať až potom. Názov tokenu, obrázok NFT alebo jeho popis vás pošlú na stránku, kde údajne odomknete hodnotu. Zobrazená cena pritom sama nepotvrdzuje, že aktívum dokážete predať za uvedenú sumu.
Modelový príklad č. 2: Jane pribudne neznáme NFT s prísľubom odmeny. Priložená stránka ju vyzve pripojiť peňaženku a podpísať „potvrdenie nároku“. Požiadavka však umožňuje nakladanie s iným tokenom, ktorý už Jana vlastní. Nebezpečným krokom je schválenie takéhoto podpisu, nie samotné prijatie NFT.
Neznáme aktívum nemusíte predávať, vracať ani „spáliť“, aby bola peňaženka bezpečná. Môžete ho ignorovať alebo skryť oficiálnou funkciou aplikácie. Nevykonávajte operáciu podľa jeho pokynov len preto, aby zmizlo zo zoznamu.
Odpojenie stránky neruší všetky oprávnenia
Odpojením peňaženky ukončujete spojenie so stránkou. Už udelené oprávnenie na blockchaine tým spravidla nezanikne. Kontrakt môže mať naďalej možnosť pracovať s príslušnými tokenmi v povolenom rozsahu.
Oprávnenia preto kontrolujte cez overenú funkciu peňaženky alebo nástroj odporúčaný jej oficiálnou dokumentáciou. Zrušenie oprávnenia, označované ako revoke, môže vyžadovať transakciu a sieťový poplatok.
Ani tento krok nie je univerzálnym riešením. Podpísaná ponuka na predaj NFT, povolenie typu permit a bežné tokenové oprávnenie môžu vyžadovať odlišné zneplatnenie. Niektoré podpisy ešte nemusia byť viditeľné v zozname blockchainových oprávnení. Zrušenie oprávnenia tiež nevracia už odoslané aktíva a neopravuje únik súkromných kľúčov.
Čo urobiť podľa toho, čo ste skutočne vykonali
Ak ste iba otvorili odkaz, nič nezadali, neinštalovali a nepotvrdili, stránku zatvorte. Samotné otvorenie nepreukazuje odcudzenie krypta. Skontrolujte prípadné stiahnuté súbory či povolenia stránky a udržujte systém aj prehliadač aktualizované. Ak ste nainštalovali softvér alebo povolili vzdialený prístup, zariadenie už vyžaduje osobitné bezpečnostné preverenie.
Ak ste prezradili heslo k burze, z dôveryhodného zariadenia ho zmeňte, zabezpečte pripojený e-mail a cez oficiálny postup odvolajte neznáme prihlásenia. Skontrolujte dvojfaktorové overenie, výbery a ďalšie prístupy k účtu. Pri podozrení na zneužitie požiadajte poskytovateľa o dostupné dočasné zabezpečenie účtu.
Ak ste podpísali podozrivú správu alebo oprávnenie, odpojenie nestačí. Zistite, čo bolo podpísané, na akej sieti a pre aké aktíva. Podľa oficiálneho postupu zrušte príslušné oprávnenie alebo riešte zneplatnenie konkrétneho podpisu. Pri nejasnej požiadavke si vyžiadajte odbornú pomoc cez nezávisle overený kontakt.
Ak unikla obnovovacia fráza, zmena hesla či PIN-u nestačí. Treba pripraviť novú peňaženku s nezávislou zálohou v dôveryhodnom prostredí a riešiť bezpečný presun zostávajúcich aktív. Pri automatickom odčerpávaní môže byť ukradnuté aj ďalšie krypto poslané na poplatky. Úspešnú záchranu nemožno garantovať.
Uchovajte dôkazy a incident oznámte
Bez odkladania zabezpečenia účtu si uložte pôvodné správy, e-maily, snímky obrazovky, adresy stránok a profilov, časovú os a potvrdenia platieb. Pri kryptotransakciách zaznamenajte sieť, identifikátor transakcie a dotknuté adresy. Frázu ani súkromné kľúče k dôkazom neprikladajte.
Incident oznámte dotknutej burze alebo poskytovateľovi peňaženky cez oficiálny kontakt. Ak sa týka bankovej platby či karty, bezodkladne kontaktujte aj banku. Podozrenie na podvod oznámte polícii; trestné oznámenie možno podať aj na prokuratúre. Phishingový web alebo kybernetický incident možno nahlásiť SK-CERT cez oficiálny formulár pre verejnosť. Technické hlásenie nenahrádza trestné oznámenie.
Oznámenie môže pomôcť pri vyšetrovaní a obmedzení ďalšieho zneužívania, nezaručuje však vrátenie prostriedkov. Pozor aj na ďalšiu ponuku „zaručenej obnovy“ za platbu vopred.
Pred kliknutím alebo podpisom si overte:
– Očakával som túto správu a potvrdil som jej pôvod nezávisle? – Sedí celá doména a otvoril som podporu cez overený kanál? – Čo presne potvrdzujem: spojenie, správu, oprávnenie alebo prevod? – Kto dostáva prístup, ku ktorému aktívu, v akom rozsahu a na ako dlho? – Rozumiem údajom v peňaženke, nielen sľubu na stránke?
Ak odpoveď nepoznáte, požiadavku odmietnite a overte ju. Podpis nepoužívajte ako spôsob zisťovania, čo stránka urobí. Obsah má iba informačný charakter. Nejde o investičné poradenstvo ani odporúčanie na nákup či predaj kryptomien. Kryptomeny sú vysoko rizikové aktíva. Postup pri incidente závisí od konkrétnej služby, siete a udelených oprávnení; obnovenie stratených prostriedkov nemožno zaručiť.