Jak zabezpieczyć kryptowaluty przed atakami ze strony złośliwego oprogramowania (malware)?

Siema mordo. Mega dobrze, że wjechałeś z tym tematem, bo jak widzę na X (dawnym Twitterze) te codzienne płacze ludzi, których wyczyścili do zera, to aż mnie skręca. Ochrona krypto przed złośliwym softem to teraz absolutny fundament, bo hakerzy nie śpią i wymyślają takie patenty, że głowa mała.

Co do tych clipboard hijackerów i podmieniania adresów, o których piszesz. Stary, podstawowa zasada opsecu: ZAWSZE, ale to absolutnie zawsze weryfikujesz wizualnie pierwsze i ostatnie 5 znaków adresu po wklejeniu. Nie ma wymówek. Jak robisz szybkie akcje na gorących portfelach, to podziel sobie środowisko. Zabezpieczenie portfela przed malware zaczyna się od odizolowania krypto od reszty twojego cyfrowego życia. Ja mam do głupot i YouTube'a normalnego Chrome'a, a do krypto odpalam Brave'a. I w tym Brave nie mam żadnych rozszerzeń poza Metamaskiem czy Phantomem. Zero blokerów reklam, zero wtyczek do pobierania wideo. Im więcej syfu napchasz do przeglądarki, tym większa szansa na wyciek ciasteczek sesyjnych. A jak haker zgarnie ci cookiesy, to nawet 2FA ci nie pomoże, bo dla giełdy czy apki to wygląda jakbyś to ty siedział przed kompem.

Pytasz o dedykowane maszyny. Wirtualki (VM) to spoko opcja, żeby blokować złośliwe oprogramowanie, ale bójmy się Boga, komu by się chciało odpalać VM-kę żeby zrobić szybkiego swapa za 50 dolców. Lepszy i wygodniejszy patent? Kupujesz na Allegro jakiegoś poleasingowego ThinkPada za trzy stówki, wywalasz Windowsa, instalujesz czystego Linuxa (Mint albo Ubuntu) i masz maszynę tylko i wyłącznie do zarządzania cyfrowymi aktywami. Linux z marszu ucina 90% zagrożeń, bo większość tych popularnych trojanów, keyloggerów i skryptów kradnących dane jest pisana pod okienka. Jak musisz siedzieć na windzie, to systemowy Defender w zupełności wystarczy. Ja czasem puszczam skan z Malwarebytes żeby wyłapać ukryte wirusy, ale prawda jest taka, że najlepszym antywirusem jest twój własny mózg i to w co klikasz na Discordzie.

Teraz smartfony. Obrona kryptowalut przed atakami na telefonach to faktycznie grząski grunt, zwłaszcza na Andku, gdzie ludzie pobierają zmodowane apki i dają im uprawnienia do wszystkiego. A ten motyw ze starym telefonem bez SIM-ki podpiętym pod domowe Wi-Fi? Byku, to nie jest żadna paranoja, to jest tzw. air-gapped device i to najmądrzejsza rzecz, jaką mozesz zrobić dla swojego bezpieczeństwa. Mam identycznie. Stary, zresetowany do zera sprzęt leży u mnie w szufladzie. Mam tam tylko Google Authenticator i apki giełd. Nawet jak zgubię główny telefon albo wbiję na jakiś lewy link z SMSa i złapię drainera, to moje kody uwierzytelniające są całkowicie bezpieczne w domu offline.

Od siebie dodam jeszcze jeden mega tip na to jak zabezpieczyć kryptowaluty przed atakami ze strony złośliwego oprogramowania (malware) na poziomie sieci Web3. Używaj regularnie narzędzi typu Revoke.cash! Robisz transakcję na DEXie, kupujesz jakiegoś memecoina i od razu potem cofasz uprawnienia dla smart kontraktu. Ludzie dają nielimitowany dostęp do swoich tokenów na lewych stronach, w tle ładuje im się jakiś ukryty wirus, a potem zdziwko, że portfel pusty. Dobre nawyki to podstawa. Trzymaj się tam i nie daj się wydrenować!

Siema! Wyżej padło już sporo fajnego mięsa, ale dorzucę jeszcze swoje trzy grosze, bo temat jest gorący. Ten patent z Linuxem na starym lapku to złoto, ale prawda jest taka, że większość ludzi i tak będzie klikać na Windowsie ze zwykłego lenistwa, więc trzeba szukać dodatkowych tarcz.

Jeśli gadamy o tym, jak zabezpieczyć kryptowaluty przed atakami ze strony złośliwego oprogramowania (malware), to nikt tu jeszcze nie wspomniał o menedżerach haseł. Dla mnie to absolutny 'must have' w walce z keyloggerami. Zamiast wklepywać hasła do giełdy z palca na klawiaturze, dajesz menedżerowi (np. Bitwarden czy KeePass) to wypełnić za ciebie. Nawet jak masz ukrytego trojana na kompie, ktory w tle sczytuje wciśnięcia klawiszy, to haker dostanie figę z makiem, bo niczego fizycznie nie wpisałeś. Poza tym, taki soft nie wstrzyknie ci danych logowania, jak trafisz na fałszywą stronę (phishing), bo adres URL nie będzie mu się zgadzał z bazą. Sprytne i mega skuteczne zabezpieczenie przed wyciekiem danych.

Druga sprawa, a propos tego odciętego od neta smartfona w szufladzie. Zgadzam się, że to niezły patent na kody 2FA, ale pomyślcie nad wjazdem level wyżej. Słyszeliście o fizycznych kluczach U2F, takich jak YubiKey? Sprzętowa autoryzacja deklasuje apki pokroju Google Authenticatora. Nawet jak złośliwy skrypt w przeglądarce spróbuje przechwycić waszą sesję na Binance, to bez fizycznego wciśnięcia palcem tego małego pendrive'a u ciebie w porcie USB komputera, napastnik nie wyciągnie kasy. Kosztuje to grosze w porównaniu do potencjalnych strat.

I jeszcze słowo o portfelach sprzętowych. Zimny portfel was nie uratuje, jeśli bezmyślnie przeklikujecie wszystko na ekraniku. Najgorszy syf w krypto to teraz złośliwe smart kontrakty, które udają normalne transakcje. Ty myślisz, że robisz niewinnego swapa, a tak naprawdę autoryzujesz skrypt dający hakerowi dostęp do drenowania tokenów. Dlatego nigdy nie ufaj w 100% temu, co masz na monitorze zainfekowanego PC. Wyłączcie sobie "Blind Signing" (śledpe podpisywanie) na Ledgerze na co dzień. Włączajcie tylko w ostateczności na sprawdzonych deksach.

Trzymajcie się w tej krypto-dżungli, nie klikajcie w darmowe airdropy od botów i chrońcie swoje seedy!