Крипто безопасност

Ще ти кажа нещо неприятно: повечето хора, които губят всичко в crypto, не го губят от лоша инвестиция. Губят го от скам, фишинг или собствена невнимателност. Пазарният риск е предвидим - човешката грешка не е.

Правилата, които не преговарям

• Seed фразата ти никога, при никакви обстоятелства, не се въвежда никъде онлайн
• Никой легитимен проект, борса или „support“ не ти пише пръв в директни съобщения
• Проверявай адреса на всеки сайт, преди да свържеш wallet - фалшивите копия са навсякъде
• Ползвай отделен wallet за нови/непроверени проекти, не основния си
• Не подписвай транзакция, чието съдържание не разбираш напълно
• Не бързай - почти всяка измама разчита на това да действаш, преди да помислиш

Seed фразата

Seed фразата е самият wallet. Който я има, има всичко - без парола, без потвърждение, от другия край на света. Как се създава и записва правилно - в как да си направиш wallet.

• Пази я на хартия или метал, офлайн, на място, което само ти знаеш.
• Никога в снимка, бележки, имейл, облак или чат „до себе си“. Снимките на телефона често се качват в облака автоматично.
• Никога в сайт, бот, формуляр или „валидатор на wallet“. Няма легитимна причина някой да я поиска - нито поддръжка, нито еърдроп, нито „синхронизация“.
• Ако имаш и най-малкото съмнение, че е изтекла - създай нов wallet с нова seed фраза и премести всичко. Не след седмица. Сега.

Устройствата

Компютърът и телефонът, на които подписваш, са част от wallet-а ти.

• Обновявай операционната система и браузъра.
• Не инсталирай пиратски софтуер, „cracked“ програми или „трейдинг ботове“ от Telegram. Най-лесният начин да ти откраднат wallet-а е сам да пуснеш зловредната програма.
• Има malware, който подменя адреса в clipboard-а - копираш един адрес, поставяш друг. Затова винаги проверявай адреса след поставяне.
• За борсите и имейла ползвай 2FA с приложение (authenticator) или физически ключ, не SMS. Атаките с подмяна на SIM карта са реални.
• Ако можеш, ползвай отделен браузър профил само за crypto, без други extensions.

Browser extensions

Всяко extension в браузъра може да вижда страниците, които отваряш. Затова:

• Дръж минимален брой extensions - колкото по-малко, толкова по-добре.
• Сваляй wallet extensions само през линк от официалния сайт. Фалшиви копия на популярни wallets се появяват в магазините за extensions редовно.
• Extensions могат да сменят собственика си или да бъдат хакнати и с едно обновяване да станат зловредни. Махни всичко, което не ползваш активно.

Approvals и revoke

Когато ползваш DEX или друг протокол в EVM мрежа, обикновено му даваш апрув - разрешение да харчи определен токен от wallet-а ти. Много сайтове по подразбиране искат неограничено одобрение.

Ако контрактът е зловреден - или по-късно бъде хакнат - той може да вземе токените ти без нов подпис от теб.

Внимавай особено с:

• setApprovalForAll - дава достъп до всички NFT-та от дадена колекция. Подробно - в NFT безопасност.
• Permit подписи - изглеждат като безобидно „подписване на съобщение“ без газ, но дават право на някой друг да харчи токените ти.
• Транзакции на Solana - там рискът е по-често в самата транзакция: един подпис може да прехвърли всичко наведнъж. Чети симулацията, преди да потвърдиш.

Направи си навик веднъж месечно и след всеки непознат сайт да отваряш инструмент като Revoke.cash и да revoke-ваш одобренията, които не ползваш. Струва малка такса за газ - несравнимо по-евтино от това, което пазиш.

Phishing - как изглеждат фалшивите сайтове

Фишингът рядко изглежда подозрително. Изглежда точно като истинския сайт, с една разлика в адреса.

• Домейни с една разменена буква, тире или различно окончание.
• Платени реклами най-отгоре в Google, които водят към копие.
• Линкове в отговорите под официални постове в X - от акаунти с почти същото име.
• Хакнати официални акаунти и Discord сървъри, които обявяват „изненадващ минт“ или „спешен клейм“.
• Фалшиви еърдроп и claim сайтове с дрейнър скрипт - един подпис и wallet-ът е празен.

Затова влизай само от bookmarks, никога от линк в DM. Ако wallet-ът ти изкара подпис, който не очакваш - отказваш и затваряш сайта.

Три wallet-а: vault, everyday, burner

Не дръж всичко на едно място. Аз работя с три нива:

1. Vault - хардуерен wallet за основния капитал. Почти никога не се свързва с нови сайтове, основно получава.
2. Everyday - hot wallet с работната сума. Свързва се само с проверени протоколи, които ползваш редовно.
3. Burner - отделен wallet за нови минтове, еърдроп клеймове и всичко непознато. В него има само толкова, колкото ти трябва за конкретното действие. Каквото спечелиш, го местиш в everyday.

Ако burner-а го дрейнат, губиш малко. А vault, който никога не вижда непознати сайтове, няма как да бъде източен с подпис. Повече за разликата - в hot и cold wallet.

Address poisoning

Address poisoning работи така: измамник ти праща транзакция с нулева или минимална стойност от адрес, който изглежда като адрес, с който реално работиш - със същите първи и последни символи.

Тя се появява в историята ти. Следващия път копираш адреса „от историята“ и пращаш на измамника.

Защита: никога не копирай адреси от историята на транзакциите. Ползвай записани контакти или whitelist в борсата, проверявай целия адрес, а не само краищата, и прави тестова транзакция при по-големи суми.

Фалшив support

Никой легитимен support не ти пише пръв, не те моли за seed фраза, не те кара да „синхронизираш“ или „валидираш“ wallet-а си и не ти праща линк към форма.

В Discord и Telegram фалшиви „админи“ пишат на всеки, който зададе въпрос публично. По телефона вече се появяват и гласове, генерирани с изкуствен интелект, които се представят за борсата.

Ако нещо се случва с акаунта ти, влизаш сам през официалното приложение. Пълният списък с модели на измами и какво да правиш, ако вече си попаднал на някой от тях - в как да разпознаеш измама.

Seed фразата ти не се дава на никого и не се въвежда в никакъв сайт. Всеки, който я иска, е крадец - без изключение.

Първата линия на защита е да разбираш какво е on-chain и да разделяш правилно wallets. Втората е навикът да спреш за пет секунди преди всеки подпис.