Крипто безопасност

Ще ти кажа нещо неприятно: повечето хора, които губят всичко в crypto, не го губят от лоша инвестиция, а от скам, фишинг или собствената си невнимателност. Пазарния риск поне можеш да го предвидиш, човешката грешка - не.

Правилата, за които не преговарям

• Seed фразата ти никога и при никакви обстоятелства не се въвежда онлайн.
• Никой легитимен проект, борса или „support“ не ти пише пръв на лично.
• Преди да свържеш wallet, проверявай адреса на сайта - фалшивите копия са навсякъде.
• За нови и непроверени проекти ползвай отделен wallet, не основния си.
• Не подписвай транзакция, ако не разбираш напълно какво подписваш.
• Не бързай - почти всяка измама разчита на това да действаш, преди да си помислил.

Seed фразата

Seed фразата е самият wallet. Който я има, има всичко, без да му трябва парола или потвърждение, дори да е от другия край на света. Как се създава и записва правилно, има в как да си направиш wallet.

• Пази я на хартия или метал, офлайн, на място, което само ти знаеш.
• Никога в снимка, бележки, имейл, облак или чат „до себе си“. Снимките в телефона често се качват автоматично в облака.
• Никога в сайт, бот, формуляр или „валидатор на wallet“. Няма легитимна причина някой да ти я поиска - нито поддръжка, нито еърдроп, нито „синхронизация“.
• Ако имаш и най-малкото съмнение, че е изтекла, създай нов wallet с нова seed фраза и премести всичко. Не след седмица, а веднага.

Устройствата

Компютърът и телефонът, от които подписваш, също са част от wallet-а ти.

• Обновявай операционната система и браузъра.
• Не инсталирай пиратски софтуер, „cracked“ програми или „трейдинг ботове“ от Telegram. Най-лесният начин да ти откраднат wallet-а е сам да си пуснеш зловредната програма.
• Има malware, който подменя адреса в clipboard-а - копираш един адрес, а поставяш друг. Затова винаги проверявай адреса, след като го поставиш.
• За борсите и имейла ползвай 2FA с приложение (authenticator) или физически ключ, а не SMS. Атаките с подмяна на SIM карта са съвсем реални.
• Ако можеш, ползвай отделен профил в браузъра само за crypto, без други extensions.

Browser extensions

Всяко extension в браузъра може да вижда страниците, които отваряш. Затова:

• Дръж колкото се може по-малко extensions.
• Сваляй wallet extensions само през линк от официалния сайт. В магазините за extensions редовно се появяват фалшиви копия на популярните wallets.
• Extensions могат да сменят собственика си или да бъдат хакнати и с едно обновяване да станат зловредни. Затова махни всичко, което не ползваш активно.

Approvals и revoke

Когато ползваш DEX или друг протокол в EVM мрежа, обикновено му даваш апрув - разрешение да харчи определен токен от wallet-а ти. Много сайтове по подразбиране искат неограничено одобрение.

Ако контрактът е зловреден или по-късно бъде хакнат, той може да вземе токените ти без нов подпис от теб.

Внимавай особено с:

• setApprovalForAll - дава достъп до всички NFT-та от дадена колекция. Подробно има в NFT безопасност.
• Permit подписи - изглеждат като безобидно „подписване на съобщение“ без газ, но дават право на някой друг да харчи токените ти.
• Транзакции в Solana - там рискът по-често е в самата транзакция и един подпис може да прехвърли всичко наведнъж. Чети симулацията, преди да потвърдиш.

Направи си навик веднъж месечно и след всеки непознат сайт да отваряш инструмент като Revoke.cash и да revoke-ваш одобренията, които не ползваш. Струва малка такса за газ, което е нищо в сравнение с това, което пазиш.

Phishing - как изглеждат фалшивите сайтове

Фишинг сайтът рядко изглежда подозрително - изглежда точно като истинския, само адресът му е малко по-различен.

• Домейни с една разменена буква, тире или различно окончание.
• Платени реклами най-отгоре в Google, които водят към копие.
• Линкове в отговорите под официални постове в X от акаунти с почти същото име.
• Хакнати официални акаунти и Discord сървъри, които обявяват „изненадващ минт“ или „спешен клейм“.
• Фалшиви еърдроп и клейм сайтове с дрейнър скрипт - един подпис и wallet-ът е празен.

Затова влизай само от bookmarks и никога от линк в DM. Ако wallet-ът ти изкара подпис, който не очакваш, отказваш и затваряш сайта.

Три wallet-а: vault, everyday, burner

Не дръж всичко на едно място. Аз работя с три нива:

1. Vault - хардуерен wallet за основния капитал. Почти никога не се свързва с нови сайтове, основно получава.
2. Everyday - hot wallet с работната сума. Свързва се само с проверени протоколи, които ползваш редовно.
3. Burner - отделен wallet за нови минтове, еърдроп клеймове и всичко непознато. В него държиш само колкото ти трябва за конкретното действие, а каквото спечелиш, го местиш в everyday.

Ако дрейнат burner-а, губиш малко. А vault, който никога не вижда непознати сайтове, няма как да бъде източен с подпис. Повече за разликата има в hot и cold wallet.

Address poisoning

Address poisoning работи така: измамник ти праща транзакция с нулева или минимална стойност от адрес, който прилича на адрес, с който реално работиш - със същите първи и последни символи.

Тя се появява в историята ти и следващия път, когато копираш адреса „от историята“, пращаш парите на измамника.

Затова никога не копирай адреси от историята на транзакциите. Ползвай записани контакти или whitelist в борсата, проверявай целия адрес, а не само началото и края, и при по-големи суми прави тестова транзакция.

Фалшив support

Никой легитимен support не ти пише пръв, не те моли за seed фраза, не те кара да „синхронизираш“ или „валидираш“ wallet-а си и не ти праща линк към формуляр.

В Discord и Telegram фалшиви „админи“ пишат на всеки, който зададе въпрос публично. По телефона вече звънят и гласове, генерирани с изкуствен интелект, които се представят за борсата.

Ако нещо се случва с акаунта ти, влизаш сам през официалното приложение. Пълният списък с видове измами и какво да правиш, ако вече си попаднал на някоя от тях, е в как да разпознаеш измама.

Seed фразата ти не се дава на никого и не се въвежда в никакъв сайт. Всеки, който я иска, е крадец - без изключение.

Първо трябва да разбираш какво е on-chain и да си разделиш правилно wallet-ите, а после просто си създай навик да спираш за пет секунди преди всеки подпис.