Soyuq cüzdan tamamilə hakerlərə qarşı davamlıdırmı? Ümumi yanlış təsəvvürlərin izahı

"Soyuq cüzdan" (cold wallet) və "hakerlər tərəfindən sındırıla bilməz" ifadələri gündəlik söhbətlərdə o qədər tez-tez birlikdə istifadə olunur ki, onların sinonim olduğunu düşünmək asandır. Lakin bu belə deyil. Soyuq cüzdan müəyyən bir risk kateqoriyasını son dərəcə yaxşı aradan qaldırır, lakin ona mütləq zəmanət kimi yanaşmaq bahalı səhvlərə səbəb ola biləcək həddindən artıq inamdır. Budur, soyuq saxlancın (cold storage) əslində nədən qoruduğuna və real risklərin hələ də harada olduğuna dair daha dəqiq bir mənzərə.

"Hakerlərə qarşı davamlı" ifadəsi əslində nə deməkdir

İnsanlar soyuq cüzdanları hakerlərə qarşı davamlı adlandırdıqda, adətən uzaqdan edilən hücumlara — internetin başqa bir yerində olan bir hücumçunun şəbəkə bağlantısı vasitəsilə şəxsi açarı (private key) oğurlamağa çalışdığı hücum növünə istinad edirlər. Soyuq cüzdanın şəxsi açarı internetə qoşulmuş bir cihaza heç vaxt toxunmadığı üçün, həmin xüsusi hücum vektoru tətbiq olunmur. Sındırıla biləcək bir server, gizli şəkildə açarı axtara bilən zərərli proqram və ya onu ifşa edə biləcək şəbəkə sorğusu yoxdur. Reputasiyanın bu hissəsi haqlı olaraq qazanılıb. Problem ondadır ki, bu, bir neçə risk kateqoriyasından yalnız biridir və "hakerlərə qarşı davamlı" çərçivəsi hamısına şamil edilməyə meyllidir.

Yanlış təsəvvür 1: Cihaz sizə çatmazdan əvvəl ona müdaxilə edilə bilməz

Soyuq cüzdanın təhlükəsizliyi, cihazın özünün orijinal olduğunu və quraşdırma anında toxunulmaz olduğunu ehtimal edir. Təchizat zənciri hücumları məhz bu ehtimala yönəlir; çatdırılmadan əvvəl ələ keçirilmiş və ya qeyri-rəsmi satıcı vasitəsilə alınmış bir cihaz, potensial olaraq kompromisə uğramış toxum ifadəsi (seed phrase) və ya dəyişdirilmiş proqram təminatı ilə əvvəlcədən konfiqurasiya edilə bilər ki, istifadəçi üçün vəsaitlər təhlükəsiz görünsün, lakin hücumçu artıq açarların bir nüsxəsinə sahib olsun. Buna görə də istehsalçılar ardıcıl olaraq yalnız rəsmi kanallardan almağı və düzgün marka adı ilə etiketlənmiş hər hansı bir cihazın avtomatik olaraq etibarlı olduğunu düşünmək əvəzinə, müdaxilə əlamətlərini və quraşdırma sorğularını diqqətlə yoxlamağı tövsiyə edirlər.

Yanlış təsəvvür 2: Fiziki sahiblik real təhlükə deyil

Soyuq saxlanc uzaqdan hücum edənlərdən qoruyur, lakin cihaza fiziki girişi olan və sahibini məcbur etmək üçün kifayət qədər təsir gücünə malik olan birinə qarşı mütləq deyil. Bu, bəzən qeyri-rəsmi olaraq "ingilis açarı hücumu" adlanır; yəni heç bir kriptoqrafiya səviyyəsi sahibini PIN kodunu və ya toxum ifadəsini birbaşa təhvil verməyə məcbur edən təhlükəyə qarşı qoruya bilməz. Bu, əksər istifadəçilər üçün daha az yayılmış bir ssenaridir, lakin soyuq cüzdanın insanı deyil, açarları qoruduğunu və böyük kripto aktivlərini açıq şəkildə reklam etməyin texnologiyadan asılı olmayaraq bir risk faktoru ola biləcəyini xatırladır.

Yanlış təsəvvür 3: Ekran həmişə həqiqəti göstərir

Hər bir aparat cüzdanı (hardware wallet) əməliyyatı, cihazın əməliyyat təfərrüatlarını, alıcının ünvanını və məbləğini istifadəçinin imzalamazdan əvvəl təsdiqləməsi üçün göstərdiyi bir anı əhatə edir. Bu addım yalnız istifadəçi vərdiş üzrə təsdiqləmə düyməsinə basmaq əvəzinə onu diqqətlə oxuduqda qoruyucu kimi işləyir. Qoşulmuş kompüter və ya telefondakı zərərli proqram, şəxsi açarın özünə toxuna bilməsə belə, qoşulmuş cihazın ekranında göstərilənləri potensial olaraq dəyişdirə bilər; məhz buna görə də kompüterin deyil, aparat cüzdanının öz ekranına etibar edilməli və yoxlanılmalıdır. Bu addımı ötürmək, aparat cüzdanının təmin etmək üçün nəzərdə tutulduğu əsas qorunma üsullarından birini məhv edir.

Yanlış təsəvvür 4: Cihazınızla işlədiyini iddia edən hər hansı bir proqram təhlükəsizdir

Saxta cüzdan tətbiqləri və klonlanmış quraşdırma saytları, istifadəçiləri toxum ifadəsini heç vaxt daxil edilməməli olan bir yerə daxil etməyə aldatmaq üçün nəzərdə tutulmuş davamlı bir riskdir. Heç bir qanuni aparat cüzdanı quraşdırma prosesi toxum ifadəsinin köməkçi tətbiqə, brauzer genişləndirməsinə və ya veb sayta yazılmasını tələb etmir; sözlər yalnız cihazın özünə daxil edilir (əgər daxil edilməlidirsə). Bu kontekstdən kənarda toxum ifadəsini tələb edən hər hansı bir sorğu, nə qədər rəsmi görünsə də, quraşdırma və ya bərpanın normal bir hissəsi kimi deyil, bir xəbərdarlıq siqnalı kimi qəbul edilməlidir.

Yanlış təsəvvür 5: Soyuq saxlancda olduqdan sonra başqa heç nə səhv gedə bilməz

Soyuq cüzdanlar onlayn hücum vektorlarını aradan qaldırır, lakin adi fiziki riskləri aradan qaldırmır. Cihaz və ya onun toxum ifadəsinin ehtiyat nüsxəsi köçmə zamanı itirilə, yanğın nəticəsində zədələnə və ya bir neçə ildən sonra sadəcə unudula bilər — və onlayn hesabdan fərqli olaraq, bu vəziyyətlərin heç biri üçün parol sıfırlama seçimi yoxdur. Soyuq saxlancı uzaqdan hücum edənlərə qarşı güclü edən təhlükəsizlik modeli, ehtiyat nüsxənin özü diqqətlə idarə olunmadıqda sıfır bərpa yolu təklif edən eyni modeldir.

WEEX xatırlatması: soyuq saxlanc riski azaldır, lakin mühakimə ehtiyacını aradan qaldırmır

WEEX istifadəçilərə xatırladır ki, soyuq cüzdan güclü bir vasitədir, lakin əsas ehtiyatlılığın əvəzedicisi deyil. Yalnız rəsmi mənbələrdən almaq, təsdiqləməzdən əvvəl cihaz ekranındakı əməliyyat təfərrüatlarını diqqətlə oxumaq, toxum ifadəsini aparat cihazından başqa heç bir yerə daxil etməmək və ehtiyat nüsxələri həm şəxsi, həm də fiziki cəhətdən təhlükəsiz saxlamaq hələ də zəruri addımlardır; aparat istifadəçinin adından bunların heç birini avtomatik yerinə yetirmir.

Yekun fikirlər

Soyuq cüzdan, kriptonu uzaqdan hücumlardan qorumaq üçün mövcud olan ən güclü vasitələrdən biridir və bu reputasiya boşuna deyil. Lakin "hakerlərə qarşı davamlı" ifadəsi onun əslində nə etdiyinin bir qədər sadələşdirilməsi idi. Real mənzərə daha dar və daha faydalıdır: soyuq saxlanc onlayn təhdidləri demək olar ki, tamamilə bağlayır, fiziki təhlükəsizlik, diqqətli yoxlama vərdişləri və etibarlı ehtiyat nüsxə təcrübələri isə birbaşa istifadəçinin məsuliyyətində qalır.