Sahte cüzdan uygulamaları: gerçeğini yüklediğinizden nasıl emin olursunuz

Birinin kriptosunu çalmanın en basit yolu cüzdanını kırmak değildir. Ona sahte bir cüzdan vermektir. Gerçeğinin tıpatıp aynısı gibi görünen sahte bir uygulama veya tarayıcı eklentisi, kurtarma ifadenizi yazdığınız anda ele geçirebilir ya da gönderim yaptığınız adresleri sessizce değiştirebilir.

Sahte cüzdanlar uygulama mağazalarında, tarayıcı eklenti mağazalarında, arama reklamlarında ve sosyal medya bağlantılarında karşınıza çıkar. Çoğu zaman özenle hazırlanmış, iyi puanlanmış ve orijinalinden ayırt edilmesi zordur. İyi haber şu: birkaç alışkanlık onlardan kaçınmayı kolaylaştırır.

Sahte cüzdanlar insanlara nasıl ulaşır

• Arama reklamları. Bir cüzdanın adını aramak, gerçek sitenin üstünde ücretli bir reklam gösterebilir ve sizi taklit bir indirme sayfasına götürebilir. Saldırganlar, insanların yükleme yapmak üzereyken aradığı terimlere tam olarak reklam satın alır.
• Mağaza sayfaları. Sahte uygulamalar ve eklentiler, uygulama mağazası ve eklenti mağazası incelemelerinden gerçekten sızabilir; bazen kopyalanmış ekran görüntüleri, şişirilmiş puanlar ve neredeyse aynı bir adla.
• Mesajlardaki bağlantılar. "Cüzdanınızı güncelleyin", "airdrop'unuzu talep edin" ya da "destek ekibi yeniden yüklemenizi söylüyor" — hepsi normalde asla dokunmayacağınız bir indirmeye yönlendirir.
• Benzer alan adları. Tek bir değiştirilmiş harf, fazladan bir kelime veya farklı bir uzantı (.io yerine .app) hızlı bir bakışı kandırmaya yeter.
• Elle yüklenen dosyalar. Herhangi bir mağazanın dışında doğrudan paylaşılan APK'lar ve eklenti paketleri, mağazanın yapacağı tüm kontrolleri atlar.

Sahte bir cüzdan ne yapar

Çoğu sahte uygulama iki şeyden birini yapar:

1. Kurtarma ifadenizi toplar. Sahte uygulama cüzdanınızı "içe aktarmanızı" veya "geri yüklemenizi" ister. İfadenizi yazdığınızda saldırgana gönderilir; saldırgan da cüzdanı kendi cihazından boşaltır — bazen günler sonra, böylece hırsızlığı yüklemeyle ilişkilendirmezsiniz.
2. Gördüklerinizi kontrol eder. Sıfırdan kurduğunuz sahte bir uygulama, saldırganın kontrol ettiği adresler üretebilir ya da gönderim yaptığınızda alıcıları değiştirebilir.

Her iki durumda da bir şeylerin ters gittiği anlaşıldığında zarar çoktan verilmiştir.

Bunu önleyen beş alışkanlık

1. Resmi web sitesinden başlayın. Adresi kendiniz yazın veya bir yer imi kullanın ve mağazalara giden bağlantıları oradan takip edin. SSP için bu sspwallet.io'dur; buradan SSP Wallet'ın tarayıcı mağazası sayfalarına ve SSP Key'in uygulama mağazası sayfalarına ulaşırsınız.
2. Yalnızca adı değil, yayıncıyı kontrol edin. Hangi mağazada olursa olsun, uygulamayı veya eklentiyi kimin yayımladığına ve bunun resmi geliştiriciyle eşleşip eşleşmediğine bakın. Farklı bir yayıncı adı, var olan en net uyarı işaretidir.
3. Aciliyete güvenmeyin. Gerçek bir cüzdan size cüzdanınızı yeniden yüklemenizi, taşımanızı veya "doğrulamanızı" söyleyen mesajlar göndermez. Sizi buna zorlayan herkes sahte destek senaryosunu uyguluyordur.
4. Kurtarma ifadenizi az önce yüklediğiniz hiçbir şeye asla yazmayın; bilinçli olarak geri yükleme yapıyor ve uygulamayı önceden doğrulamış olmanız hariç. Sıfırdan kurmayı planladığınız bir uygulamanın ilk açılışta ifade istemesi bir dur işaretidir.
5. Eklentileri az ve bilinen tutun. Her eklenti, tarayıcınıza erişimi olan bir yazılımdır. İyi eklenti hijyeni, hem sahte bir eklenti yükleme ihtimalini hem de ele geçirilmiş bir eklentinin verebileceği zararı azaltır.

Bir adım ötesi: derlemeyi doğrulamak

Mağaza sayfaları ve web siteleri bir uygulamanın nereden geldiğini söyler. Daha güçlü bir güvence isteyenler için bazı cüzdanlar, uygulamanın yayımladıkları koddan derlendiğini kontrol etmenize olanak tanır.

SSP açık kaynaklıdır ve SSP Wallet sürümleri yeniden üretilebilir şekilde derlenir: aynı kaynak kod her zaman aynı çıktıyı üretir, böylece herkes bir sürümü yeniden derleyip dağıtılanla eşleştiğini doğrulayabilir. Bu sürümler ayrıca GPG ile imzalanır; böylece SSP ekibinden geldiklerini kontrol edebilirsiniz. Çoğu insanın hiçbir zaman atması gerekmeyen bir adımdır — ama "mağazaya güven" yaklaşımını doğrulayabileceğiniz bir şeye dönüştüren de budur. Tedarik zinciri saldırıları ve deterministik derlemeler bunun neden önemli olduğunu açıklıyor.

İki cihaz neden yardımcı olur — ve nerede olmaz

SSP'nin 2'de 2 tasarımı burada bir güvenlik payı ekler. Tek başına sahte bir SSP Wallet, gerçek kurulumunuzdaki fonları hareket ettiremez; çünkü her işlem ayrıca telefonunuzdaki SSP Key'e ihtiyaç duyar. Aynı şekilde, tek başına sahte bir SSP Key de cüzdanın anahtarı olmadan harcama yapamaz.

Ancak bir sınır var ve bu önemli. Her iki kurtarma ifadesini de sahte uygulamalara yazarsanız, saldırgan iki anahtara da sahip olur ve multisig yardımcı olamaz. İkinci cihaz sizi ele geçirilmiş tek bir uygulamaya karşı korur; her şeyi teslim etmenize karşı koruyamaz. SSP'nin hiçbir gerçek parçası, bir cüzdanı geri yüklemeyi kendiniz seçtiğiniz durumlar dışında sizden asla kurtarma ifadesi girmenizi istemez.

Sahte bir uygulama yüklediğinizi düşünüyorsanız

• İçine başka hiçbir şey girmeyin ve uygulamayı kaldırın.
• Bir kurtarma ifadesi yazdıysanız, o cüzdanı ele geçirilmiş sayın. Temiz bir cihazda resmi kaynaktan yeni bir cüzdan kurun ve fonlarınızı hemen taşıyın — hız her şeyden daha önemlidir.
• Sayfayı mağazaya bildirin, böylece başka birini yakalamadan kaldırılabilir.

Dürüst özet

Sahte cüzdanlar, bulduğunuz ilk sonuç olarak kazanır. Resmi siteden başlayın, yayıncıyı kontrol edin, acil "güncelleme" mesajlarını görmezden gelin ve az önce yüklediğiniz bir şeye asla kurtarma ifadesi vermeyin.

İki cihazlı bir kurulum, tek bir sahte uygulamayı çok daha az tehlikeli hale getirir — ama en güçlü koruma, en baştan hiç yüklememektir.