Берегите свои активы от уязвимостей Не ваши ключи, не ваши монеты😶 Старожилы криптомира часто говорят: «Если вы не контролируете свои приватные ключи, то эти активы на самом деле вам не принадлежат», и безопасность является важнейшей основой этого. Инцидент с «кражей холодного кошелька на 50 миллионов юаней за одну ночь» снова напомнил всем, что безопасность — это самый важный аспект на пути к богатству. Сегодня Тусань Гуй расскажет о «контроле источника» и «использовании» кошелька, обсудив, как защитить безопасность нашего кошелька. 1⃣ Перед покупкой обязательно проверьте источник 1. Никогда не покупайте через неофициальные каналы, покупайте только на официальном сайте или у официально уполномоченных продавцов. Например, многие так называемые «новые, нераспакованные» или «по специальной цене» аппаратные кошельки на неавторизованных третьих торговых площадках могут быть взломаны и иметь встроенные задние двери, их нельзя трогать! 2. При получении проверьте целостность упаковки и пломбы, если обнаружите аномалии, откажитесь от получения. Ни в коем случае не стоит из-за временного удобства использовать устройство с неполной упаковкой. Кроме того, даже если упаковка цела, она могла быть подменена в процессе доставки, некоторые поддельные устройства могут выглядеть похоже, но внутренние чипы и генераторы случайных чисел не могут гарантировать безопасность или могут иметь задние двери. Поэтому обязательно следуйте официальному процессу проверки подлинности кошелька! Ранее один из участников группы хотел подарить Тусань Гуй холодный кошелек, но Тусань Гуй сразу отказался, нужно быть ответственным за свои активы и отказываться от вторичных кошельков. 3. При первом включении отключите кошелек от сети, обязательно создавайте мнемоническую фразу в оффлайн-режиме. Записывайте мнемоническую фразу на бумаге или металлической пластине, ни в коем случае не фотографируйте, не делайте скриншоты и не используйте облачное резервное копирование. Подчеркиваю, что «генерация должна быть оффлайн», потому что👇 Приватные ключи/мнемонические фразы в этот момент «видимы в открытом виде и могут быть изменены» — это единственный шанс. В дальнейшем, даже если вы подключите USB, злоумышленнику будет гораздо сложнее получить доступ к приватным ключам или повлиять на них. На этапе использования, если злоумышленник попытается сделать что-то плохое через USB, он столкнется с множеством препятствий👇 ✅ Защита аппаратного ACL (1) Хотите, чтобы устройство выдало приватный ключ? Команды не существуют, не выдаст (2) Хотите тайно прочитать внутреннюю флеш-память? Адрес не в белом списке, не прочитать ✅ Защита подписи прошивки (1) Если хакер хочет установить новую прошивку с задней дверью, он должен подделать приватный ключ производителя (математически невозможно). Чтобы подделать подпись, нужно перебрать 2 в 256 степени ключей или взломать дискретный логарифм (оба превышают современные и предсказуемые вычислительные возможности). (2) Любой неподписанный код, отправленный через BadUSB (вредоносный), будет отклонен загрузчиком. Загрузчик — это первая линия защиты нашего устройства, он записан в память только для чтения или защищенную флеш-память и не может быть перезаписан (загрузчик использует публичный ключ производителя для проверки подписи прошивки). ✅ Защита PIN-кодом (включая самоуничтожение/стратегию задержки) (1) Даже если злоумышленник получит физическое устройство, ему нужно угадать PIN, чтобы вызвать команду подписи. (2) Брутфорс будет задержан или приведет к полному стиранию, что эквивалентно «сожжению приватного ключа». Кроме того, перед покупкой обязательно проверьте «источник», а во время использования также следите за безопасностью. 2⃣ Важные моменты при повседневном использовании 1. Защита от атак типа «человек посередине» на адреса. Например, при переводе проверьте адрес на экране устройства, не упрощайте задачу, проверяя только последние цифры, чтобы избежать подмены буфера обмена. 2. Подключайте к безопасным устройствам (например, для обновления ROM, подписания и т.д.), после завершения немедленно отключайтесь. 3. Холодные кошельки должны хранить только небольшие суммы, большие суммы — на холодных кошельках, не храните все средства на одном устройстве. Это также то, что мы часто говорим: не кладите все яйца в одну корзину~ 4. Регулярно проверяйте мнемоническую фразу, чтобы убедиться, что резервная копия доступна. 5. Для крупных активов можно использовать 2 из 3 аппаратных мультиподписей. Это похоже на то, что для открытия двери нужно использовать любые 2 из 3 ключей, что повышает защиту от атак и сохраняет определенную избыточность. (например, 2 холодных кошелька + 1 горячий кошелек, предположим, холодные кошельки A и B, горячий кошелек C) Преимущества таковы👇 (1) Если горячий кошелек C будет взломан, холодные кошельки A + B все равно смогут предотвратить вывод средств. (2) Если холодный кошелек A выйдет из строя, достаточно, чтобы холодный кошелек B + горячий кошелек C оставались, чтобы вернуть активы. Некоторые могут задаться вопросом, а что если у меня три холодных кошелька? Здесь мы кратко сравним преимущества и недостатки «2 холодных 1 горячий» и «3 холодных»👇 6. Холодные кошельки и мнемонические фразы должны храниться в разных местах (много мест для резервирования, чтобы избежать потери всего) #БезопасностьКриптовалют #АппаратныеКошельки В заключение, как говорится, если вы не контролируете свои приватные ключи, то эти активы на самом деле вам не принадлежат, и безопасное использование строится на этой основе!