רכשת קריפטו, שמרת אותו בארנק - ועצרת שם. זה מובן, אבל זו גם הטעות הכי נפוצה. רוב הפריצות לא מגיעות מהארנק עצמו, אלא מכל מה שמסביבו: האימייל, הבורסה, הטלפון, וסיסמה אחת שחוזרת על עצמה בכל מקום.
המאמר הזה לא עוסק בארנקי חומרה או ב-seed phrase. על אלה כבר כתבנו. הפעם מדברים על השכבה שמעל - ועל טעויות שאנשים עושים כל יום בלי להבין שהם עושים אותן.
למה האימייל שלך הוא נקודת התורפה
כשמישהו רוצה לפרוץ לחשבון הבורסה שלך, הוא לרוב לא תוקף את הבורסה. הוא תוקף אותך. הדרך הקצרה ביותר אליך עוברת דרך האימייל.
לאימייל יש גישה לאיפוס סיסמה כמעט בכל שירות שנרשמת אליו. אם מישהו נכנס לאימייל שלך, הוא יכול לאפס את הסיסמה בבורסה תוך דקות. לכן האימייל שמחובר לחשבונות קריפטו חייב להיות אימייל נפרד - לא זה שבו אתה מקבל ניוזלטרים וקופונים.
כמה דברים שכדאי לעשות עכשיו:
- פתח כתובת אימייל ייעודית לחשבונות קריפטו בלבד
- אל תשתמש בה לשום דבר אחר - לא קניות, לא הרשמות
- בחר ספק אימייל עם מוניטין טוב לפרטיות, כמו ProtonMail
- הפעל 2FA על האימייל הזה - ורק אחרי זה על כל השאר
2FA - לא כל האפשרויות שוות
2FA (אימות דו-שלבי, Two-Factor Authentication) זו שיטה שמוסיפה שלב נוסף מעבר לסיסמה. אחרי שהכנסת סיסמה, צריך גם קוד שמשתנה כל 30 שניות. אפילו אם מישהו גנב את הסיסמה - בלי הקוד הוא לא נכנס.
הבעיה היא שרוב האנשים מפעילים 2FA דרך SMS - הודעת טקסט לטלפון. זה הרבה יותר פגיע ממה שנראה. קיימת שיטת תקיפה שנקראת SIM Swap (החלפת סים), שבה תוקף משכנע את חברת הסלולר להעביר את המספר שלך לכרטיס סים חדש שהוא מחזיק. ברגע שהצליח - כל ה-SMS שמגיע לטלפון שלך מגיע אליו.
הפתרון הטוב יותר הוא אפליקציית TOTP (קוד חד-פעמי מבוסס זמן). האפשרויות המוכרות הן Google Authenticator ו-Authy. הן מייצרות קודים ישירות בטלפון, בלי חיבור לרשת הסלולרית. אפילו אם מישהו השתלט על המספר שלך - הקודות האלה לא יגיעו אליו.
אם רצית לדרג לפי רמת אבטחה: מפתח פיזי (כמו YubiKey) עדיף על אפליקציית TOTP, שעדיפה על SMS, שעדיפה על כלום.
גיבויים - לא מה שחשבת
גיבוי של קריפטו זה לא כמו גיבוי של תמונות. אתה לא מגבה את המטבעות - אתה מגבה את הגישה אליהם. ויש כמה שכבות לדאוג להן.
ה-seed phrase (ביטוי השחזור) של הארנק - זה הדבר הכי חשוב. 12 או 24 מילים שמייצגות את כל המפתחות שלך. אם תאבד אותן ולא יהיה לך גיבוי, הכסף אבד. נכתב על נייר, נשמר במקום בטוח פיזי, לא בענן ולא בתמונה בטלפון.
אבל יש עוד דברים שאנשים שוכחים לגבות:
- קודי גיבוי של 2FA - כל שירות נותן לך קודים חד-פעמיים בזמן ההפעלה. שמור אותם. אם תאבד את הטלפון - הם מה שיציל אותך
- הסיסמאות עצמן - מנהל סיסמאות (Password Manager) כמו Bitwarden שומר הכל בצורה מוצפנת. גם המנהל עצמו צריך גיבוי
- כתובת האימייל הייעודית - וסיסמתה, ומה שצריך כדי לשחזר אותה
תחשוב על זה כך: אם הטלפון שלך יישבר עכשיו - כמה זמן ייקח לך לחזור לגשת לכל החשבונות? אם התשובה היא "אני לא יודע", יש עבודה לעשות.
טעויות קטנות שעולות ביוקר
כמה הרגלים שנראים תמימים אבל הם בעייתיים:
אותה סיסמה בכמה מקומות. אם בורסה כלשהי נפרצת ודלפה רשימת סיסמאות, כל מי שהשתמש באותה סיסמה במקומות אחרים - חשוף. זה קורה הרבה יותר ממה שנראה. מנהל סיסמאות פותר את זה - סיסמה חזקה ושונה לכל שירות.
לחיצה על קישורים במייל. הודעות דיוג (Phishing) נראות לגמרי אמיתיות. הן מגיעות עם לוגו של בורסה, עם שם שלך, עם טקסט דחוף. הכלל הפשוט: לא לוחצים על קישורים. פותחים טאב חדש ומקלידים את הכתובת ידנית.
אחסון מידע רגיש בענן. צילום מסך של seed phrase ב-Google Photos או iCloud זה לא גיבוי - זה סיכון. ענן פרוץ, חשבון גוגל פרוץ, הכל נחשף. מידע רגיש חי על נייר, לא על שרתים של חברה אחרת.
שימוש ב-WiFi ציבורי לניהול חשבונות. רשתות ציבוריות פתוחות מאפשרות לתוקף לראות את התעבורה שלך. אם אתה חייב, השתמש ב-VPN מהימן. אבל בכלל - פעולות כספיות רק מרשת ביתית.
תתחיל מדבר אחד: פתח אימייל נפרד לקריפטו, הפעל עליו 2FA דרך אפליקציה, ואחר כך עבור שירות שירות ועשה אותו דבר.
חזרה לבלוג