Portfel sprzętowy z marketu? Sprawdź go, zanim wpiszesz seed

Informacja o wycofaniu portfeli sprzętowych Ledger ze sprzedaży w sieci MediaMarkt po wykryciu urządzeń z fizycznymi modyfikacjami, w tym ukrytymi układami mającymi przechwytywać frazy seed, uderza w fundament całej idei zimnego przechowywania kryptowalut. Portfel sprzętowy kupuje się po to, żeby klucze prywatne nigdy nie opuściły urządzenia. Jeśli urządzenie zostało spreparowane jeszcze przed dotarciem do klienta, cała ta obietnica przestaje działać.

Dla początkującego inwestora płynie z tego jeden praktyczny wniosek: kanał zakupu jest częścią bezpieczeństwa, dokładnie tak samo jak sam sprzęt. Poniżej konkretnie o tym, jak ograniczyć ryzyko.

Na czym polega atak na łańcuch dostaw

Atak typu supply chain to ingerencja w produkt w drodze od fabryki do użytkownika. W przypadku portfeli sprzętowych możliwe są trzy scenariusze:

• Fizyczna modyfikacja urządzenia: dodanie układu lub przewodu, który rejestruje to, co wyświetla ekran albo co wpisujesz na przyciskach, i przekazuje dane dalej.
• Podmiana oprogramowania: wgranie firmware'u generującego frazę seed, którą atakujący zna z góry, więc środki można zabrać w dowolnym momencie.
• Dołączenie gotowej frazy seed: w pudełku znajduje się kartka z "twoimi 24 słowami" i instrukcją, żeby je przepisać. To zawsze oszustwo. Producent nigdy nie zna i nie dostarcza frazy seed.

Łączy je jedno: ofiara nie widzi niczego niepokojącego. Portfel działa, aplikacja się łączy, transakcje przechodzą. Środki znikają dopiero wtedy, gdy na adresie uzbiera się sensowna kwota.

Jak zweryfikować portfel krok po kroku

Zanim przeniesiesz na nowe urządzenie jakiekolwiek środki, przejdź przez taką listę:

• Kupuj u źródła. Sklep producenta albo oficjalny, wymieniony na jego stronie dystrybutor. Marketplace'y, aukcje, oferty z drugiej ręki i okazje "nowe, zapakowane" to kategoria podwyższonego ryzyka.
• Sprawdź zawartość pudełka. Brak jakiejkolwiek wstępnie zapisanej frazy seed, brak gotowego PIN-u. Karty na frazę muszą być puste.
• Uruchom test autentyczności w oficjalnej aplikacji. Ledger Live, Trezor Suite i odpowiedniki innych producentów wykonują kryptograficzną weryfikację układu bezpieczeństwa. To mocniejszy dowód niż nienaruszona folia, bo folię da się odtworzyć, a podpisu układu nie.
• Zaktualizuj firmware do najnowszej wersji z oficjalnego źródła przed pierwszym użyciem.
• Zawsze generuj frazę seed samodzielnie na urządzeniu i spisuj ją ręcznie, nigdy nie fotografuj i nie wpisuj do komputera ani telefonu.
• Obejrzyj sprzęt. Ślady klejenia, luźna obudowa, niepasujące śrubki, inny odcień plastiku lub nietypowa waga to powód, żeby urządzenia nie uruchamiać.

Co zrobić, jeśli portfel budzi wątpliwości

Jeśli masz choćby cień podejrzenia, nie próbuj "przetestować" urządzenia małą kwotą. Potraktuj je jako skompromitowane. Postępowanie jest proste:

• Nie wpisuj na nim istniejącej frazy seed z innego portfela, bo to najszybszy sposób na utratę środków z portfela, który był dotąd bezpieczny.
• Kup nowe urządzenie z pewnego źródła, wygeneruj na nim świeżą frazę seed i przenieś środki na nowe adresy.
• Zgłoś sprawę sprzedawcy i producentowi, a wadliwy sprzęt zachowaj jako dowód.

Warto też przemyśleć sam model przechowywania. Przy większych kwotach sens ma rozdzielenie środków na kilka portfeli od różnych producentów, dodanie hasła dodatkowego (passphrase), które tworzy ukryty portfel niedostępny nawet przy znajomości 24 słów, albo konfiguracja multisig wymagająca podpisu z dwóch niezależnych urządzeń. Każde z tych rozwiązań sprawia, że przejęcie jednego sprzętu nie oznacza utraty całości.

Podsumowanie

Sprawa wycofania portfeli z półek dużej sieci to nie argument przeciwko portfelom sprzętowym, tylko przeciwko kupowaniu ich w przypadkowym kanale. Zimny portfel nadal jest najlepszym sposobem przechowywania kryptowalut dla osoby prywatnej, pod warunkiem że trafia do ciebie nienaruszony, a frazę seed generujesz wyłącznie ty.

Tekst ma charakter edukacyjny i nie stanowi porady inwestycyjnej. Decyzje dotyczące zakupu i przechowywania aktywów cyfrowych podejmujesz na własną odpowiedzialność.

Ten artykuł ma charakter wyłącznie edukacyjny i nie stanowi porady inwestycyjnej, rekomendacji ani oferty w rozumieniu przepisów prawa. Inwestowanie w kryptowaluty i instrumenty finansowe wiąże się z ryzykiem, włącznie z utratą całości zainwestowanych środków.