امنیت و کلاهبرداری های کریپتو

چرا یک خاصیت، همه عادت ها را تعیین می کند

وقتی با کارت بانکی پرداخت اشتباهی می کنید، یک مسیر شکایت وجود دارد و در بسیاری از موارد پول برمی گردد. کمیسیون تجارت فدرال آمریکا در صفحه راهنمای خودش درباره کلاهبرداری رمزارز دو جمله کوتاه دارد که کل تفاوت را می گوید: پرداخت های رمزارزی معمولا برگشت پذیر نیستند، و پرداخت های رمزارزی حمایت های قانونی متعارف را ندارند.

برگشت ناپذیری یعنی وقتی تراکنش روی شبکه تایید شد، هیچ کس، نه صرافی و نه شبکه و نه ما، کاری برای پس گرفتنش ندارد. این نه یک نقص است و نه یک ویژگی تبلیغاتی؛ همان چیزی است که باعث می شود پرداخت بدون واسطه ممکن باشد، و قیمتش را هم شما می دهید.

نتیجه عملی این است که کل امنیت به قبل از فشردن دکمه منتقل می شود. در دنیای کارت، بخشی از امنیت بعد از پرداخت اتفاق می افتد؛ اینجا هیچ چیز بعد از پرداخت اتفاق نمی افتد. هر عادتی که در ادامه می خوانید، در واقع دارد یک کار می کند: چند ثانیه بین «متقاعد شدن» و «امضا کردن» باز می کند.

شش شکلی که پول را می برند، و نشانه ساختاری هرکدام

این فهرست برای تشخیص است و نه برای ترساندن. هر شش تا یک اسکلت مشترک دارند: یک بهانه باورپذیر، یک عجله، و در انتها یک عمل که برگشت ندارد. چیزی که آنها را از هم جدا می کند این است که آخر ماجرا دقیقا چه چیزی از شما می خواهند.

سه تای این ها را همان صفحه راهنمای FTC صریح نوشته است، و صراحتش ارزش نقل کردن دارد: فقط کلاهبردارها اصرار می کنند پرداخت با رمزارز انجام شود، فقط کلاهبردارها سود یا بازدهی بزرگ تضمین می کنند، و در بسیاری از موارد شما را به سمت اسکن یک کد QR هدایت می کنند که پرداخت را مستقیم به کیف پول خودشان می برد.

یک نشانه قدیمی را هم اینجا دفن کنیم. سال ها به مردم گفتند از روی فارسی بد و غلط املایی تشخیص بدهید. آن نشانه دیگر کار نمی کند، چون نوشتن متن روان و بی غلط امروز عملا رایگان است و همان سایت جعلی هم می تواند تمیز و حرفه ای باشد. نشانه های بالا ساختاری اند و با بهتر شدن ظاهر از بین نمی روند: اینکه پیام را شما شروع نکرده اید، اینکه چیزی خواسته می شود که هیچ سرویس واقعی نمی خواهد، و اینکه عملی که از شما می خواهند برگشت ندارد. شکل های عمومی تر همین حمله ها در مسیر امنیت درس جداگانه دارند.

امضایی که پول را نمی فرستد، ولی اجازه اش را می دهد

بخشی از پول هایی که در این حوزه از دست می روند، با یک انتقال از دست نمی روند؛ با یک اجازه از دست می روند. تفاوت این دو را کیف پول به شما نشان می دهد ولی خیلی کم پیش می آید کسی بایستد و بخواندش.

مستندات ERC-20 روی سایت اتریوم، در فهرست کارهایی که این استاندارد فراهم می کند، این را می نویسد: تعیین اینکه آیا مقداری از یک توکن در یک حساب می تواند توسط یک حساب شخص ثالث خرج شود. تابعش approve(address _spender, uint256 _value) است و تابع دیگری به اسم allowance نشان می دهد آن اجازه چقدر باقی مانده. یعنی یک قرارداد می تواند اجازه داشته باشد از آدرس شما خرج کند، بدون اینکه در لحظه امضا چیزی از حساب شما کم شود.

سه نتیجه از این ساختار بیرون می آید و هر سه در عمل مهم اند. اول، وصل کردن کیف پول به یک سایت با دادن اجازه یکی نیست: اولی معمولا فقط آدرس شما را نشان می دهد و دومی یک اختیار می دهد. دوم، اجازه تا وقتی که خودتان عوضش کنید سر جایش می ماند؛ بستن تب مرورگر کاری با آن ندارد. سوم، اجازه سقف دارد و آن سقف می تواند عددی بزرگ باشد که در عمل یعنی نامحدود، و همین جاست که فاصله بین «یک بار استفاده» و «هر وقت خواست» ناپدید می شود.

کاری که از این می آید ساده است و در بخش مسیر سریع همین صفحه دقیقا نوشته شده: پیش از تایید، همان چند فیلدی را که کیف پول نشان می دهد بخوانید؛ اسم تابع، آدرسی که اجازه می گیرد، و مبلغ. اگر مبلغ نامحدود بود و کاری که می خواهید یک خرید مشخص است، دلیلی برای امضای آن نیست.

ساعت اول: چه کاری می کنید و چه کاری نمی کنید

اگر همین حالا اتفاقی افتاده، ترتیب کارها مهم است و بیشتر آدم ها اولین کاری که می کنند اشتباه است: دوباره وصل شدن به همان سایت.

اول تشخیص بدهید کدام اتفاق افتاده، چون واکنش این دو یکی نیست. اگر عبارت بازیابی جایی وارد شده، آن کیف پول دیگر مال شما نیست و رمز عوض کردن معنی ندارد؛ باید یک کیف پول کاملا جدید با کلمه های جدید ساخته شود و هر چه باقی مانده به آن منتقل شود. اگر امضایی داده اید که اجازه خرج کردن بوده، کیف پول هنوز مال شماست و کاری که باید کرد صفر کردن همان اجازه از روی همان آدرس است.

دو کار را انجام ندهید. با کسی که در پیام خصوصی پیشنهاد کمک می دهد وارد گفتگو نشوید، چون خبر ضرر شما در همان جایی که ضرر کرده اید قابل دیدن است و همین سراغتان می آورد. و به هیچ سرویس بازیابی پول اعتماد نکنید: کسی که می گوید در ازای درصدی یا پیش پرداختی پول رفته را برمی گرداند، دارد دقیقا همان کاری را می کند که بار اول با شما شد. برگشت ناپذیری استثنا ندارد و اینجا هم ندارد.

و در پایان یک کار که بی فایده به نظر می رسد و نیست: هر چه دیده اید ثبت کنید، هش تراکنش، آدرس ها، ساعت و متن پیام. برای پول شما معمولا فایده ای ندارد. برای گزارش به سرویسی که در آن اتفاق افتاده و برای کسی که بعد از شما سراغ همان صفحه می رود، فایده دارد.

عادت هایی که واقعا کار می کنند و در فهرست ها نمی آیند

فهرست های امنیتی معمولا با چیزهای بزرگ شروع می شوند. چیزهایی که واقعا جلوی ضرر را می گیرند کوچک و تکراری اند.

یک کیف پول جدا برای وصل شدن به سایت هایی که نمی شناسید بسازید و مبلغ زیادی در آن نگذارید. هر اجازه ای که بدهید مال همان کیف پول است و بدترین حالتش هم به همان مبلغ محدود می ماند. کیف پولی که پول اصلی در آن است هیچ وقت به هیچ سایتی وصل نمی شود.

قبل از انتقال بزرگ، یک انتقال آزمایشی کوچک بفرستید و منتظر بمانید تا برسد. کارمزدش را می دهید و در عوض می فهمید آدرس و شبکه درست است، پیش از اینکه کل مبلغ روی همان مسیر برود.

آدرس را از روی صفحه دستگاه یا کیف پول بخوانید، نه از روی صفحه سایت. و مقصد را کامل مقایسه کنید نه فقط چند حرف اولش. اگر کد QR گرفته اید، آدرسی که بعد از اسکن داخل کیف پول ظاهر می شود همان چیزی است که باید بخوانید.

و قاعده ای که از همه اینها بیشتر جواب می دهد: اگر پیشنهاد سراغ شما آمده، آن پیشنهاد نیست. فرصت هایی که کسی در پیام خصوصی، در کامنت، یا در گروه به شما معرفی می کند، بدون استثنا ارزش همان چند ثانیه ای را دارند که برای بستن پنجره لازم است.