Seed phrase: πώς να την φυλάξετε με ασφάλεια και να μην τη χάσετε ποτέ
Αυτή η σελίδα δεν ζητά ποτέ τη seed phrase σας και δεν θα σας παρουσιάσει πουθενά πεδίο για να την πληκτρολογήσετε. Αν συναντήσετε έστω και ένα σημείο — εδώ ή οπουδήποτε αλλού — όπου πρέπει να εισάγετε τις δώδεκα ή εικοσιτέσσερις λέξεις σας για να „επαληθεύσετε" ή να „ξεκλειδώσετε" κάτι, αυτό είναι phishing. Κλείστε τη σελίδα αμέσως.
Υπάρχει ένα κόλπο phishing που τα τελευταία χρόνια το βλέπω όλο και πιο συχνά, και γίνεται όλο και πιο πειστικό. Πατάτε σε μια σελίδα που λέει ότι τρέχει ένα airdrop, συνδέετε το πορτοφόλι, και μετά εμφανίζεται μια τρομακτική γραμμή: „Εντοπίσαμε κίνδυνο ασφαλείας στο πορτοφόλι σου — εισήγαγε τη seed phrase για να ολοκληρώσεις την επαλήθευση και να ξεκλειδώσεις το claim σου." Από κάτω μια προσεγμένη σειρά πεδίων, ακριβώς δώδεκα ή εικοσιτέσσερα, με τα σωστά χρώματα, το λογότυπο, ακόμη και μια φωτογραφία υποστήριξης. Αλλά μόλις πληκτρολογήσετε εκείνες τις λέξεις και πατήσετε αποστολή, το πορτοφόλι σας αδειάζει μέσα σε λίγα δευτερόλεπτα — και δεν ανακτάται. Αυτό δεν είναι μεμονωμένο περιστατικό, είναι ο πυρήνας μιας ολόκληρης κατηγορίας απάτης: να σας φέρουν με κάθε δυνατό τρόπο στο σημείο να παραδώσετε τη seed phrase σας.
Αυτή η σελίδα εξηγεί πλήρως εκείνο το πιο επικίνδυνο κομμάτι: τι είναι μια seed phrase και ένα private key, γιατί ισοδυναμούν με όλη την περιουσία σας, τι δεν πρέπει σε καμία περίπτωση να κάνετε σε ένα airdrop, πότε το αντίγραφό σας είναι όντως ασφαλές, και πώς αντιδράτε αν υποψιαστείτε διαρροή. Το κατώτατο όριο είναι ένα μόνο — εκείνη τη σειρά λέξεων την εισάγετε μόνο στο δικό σας πορτοφόλι, και ποτέ σε καμία ιστοσελίδα.
Τι είναι στην ουσία μια seed phrase και ένα private key
Πρώτα ξεχωρίστε τις δύο έννοιες. Το private key σας είναι μια μεγάλη σειρά τυχαίων δεδομένων και η μόνη απόδειξη ότι έχετε τον έλεγχο μιας διεύθυνσης στο blockchain. Όποιος έχει το private key μπορεί να ξοδέψει ό,τι υπάρχει σε εκείνη τη διεύθυνση. Είναι απλώς μια μεγάλη δεκαεξαδική σειρά: δύσκολο να αντιγραφεί με το χέρι και εύκολο να ληφθεί λάθος.
Γι' αυτό υπάρχει η seed phrase (γνωστή και ως φράση ανάκτησης ή recovery phrase). Κωδικοποιεί το private key σας με μια σταθερή λίστα λέξεων σε μια ομάδα λέξεων, συνήθως 12 ή 24 αγγλικές λέξεις σε σταθερή σειρά. Αξίζει ακριβώς όσο και το ίδιο το private key — με τη seed phrase μπορείτε να παραγάγετε τα private keys όλων των διευθύνσεων στο πορτοφόλι σας. Αυτοί οι κανόνες προέρχονται από ένα ανοιχτό πρότυπο του Bitcoin· η λίστα λέξεων και ο αλγόριθμος είναι και τα δύο δημόσια, στο αρχικό πρότυπο BIP-39. Με άλλα λόγια: η seed phrase σας δεν είναι „κωδικός" που σας δίνει η εφαρμογή, είναι η ρίζα του πορτοφολιού σας.
Ο κωδικός εισόδου ή το PIN της εφαρμογής πορτοφολιού είναι κάτι εντελώς διαφορετικό από τη seed phrase σας. Το πρώτο ξεκλειδώνει μόνο εκείνη τη μία εφαρμογή σε αυτή τη συσκευή και είναι άχρηστο σε άλλη συσκευή. Η seed phrase είναι η πραγματική απόδειξη ιδιοκτησίας: με αυτή ανακτάτε όλη σας την περιουσία σε οποιοδήποτε πορτοφόλι. Γι' αυτό όλα τα πορτοφόλια επιμένουν να φυλάτε μόνοι σας τη seed phrase — δείτε και τη σελίδα ασφαλείας και απορρήτου του MetaMask.
Γιατί ισοδυναμούν με όλη την περιουσία σας
Ένα πράγμα να κατανοήσετε αρκεί: στο blockchain δεν υπάρχει εξυπηρέτηση πελατών, ούτε ξέχασα-τον-κωδικό, ούτε πάγωμα λογαριασμού. Δεν φυλάτε τα νομίσματά σας σε μια εταιρεία που τα διαχειρίζεται για εσάς — έχετε με το private key σας απευθείας έλεγχο πάνω σε ό,τι υπάρχει on-chain. Αυτή τη λογική του „αυτοφύλαξη" την εξηγεί καλά η σελίδα πορτοφολιών του Ethereum Foundation.
Η άμεση συνέπεια: μόλις κάποιος έχει τη seed phrase σας, μπορεί στη δική του συσκευή να ανακτήσει το πορτοφόλι σας και να αδειάσει τα πάντα. Δεν μπορείτε να τον σταματήσετε, δεν το αντιλαμβάνεστε, και καμία αρχή δεν μπορεί να τα ανακτήσει. Σε αντίθεση με μια τραπεζική κάρτα — που τη μπλοκάρετε μετά την κλοπή — μια on-chain συναλλαγή μετά την επιβεβαίωση είναι οριστική. Η αξία εκείνων των λέξεων δεν βρίσκεται στο „πόσα υπάρχουν τώρα στο πορτοφόλι μου", αλλά σε ό,τι μπορεί ποτέ να διαχειριστεί εκείνο το πορτοφόλι. Αντιμετωπίστε τις σαν το κλειδί ενός θησαυροφυλακίου, και το βάρος περίπου κάθεται σωστά.
Τα τέσσερα πράγματα που δεν κάνετε ποτέ
Τα επόμενα τέσσερα είναι οι ενέργειες όπου με μία λάθος κίνηση μπορείτε να τα χάσετε όλα. Αυτό που έχουν κοινό: η seed phrase σας εγκαταλείπει την κατάσταση όπου μόνο εσείς μπορείτε να τη δείτε.
- Μην εισάγετε ποτέ τη seed phrase σε ιστοσελίδα ή σε popup εφαρμογής. Υπάρχει μία μόνο στιγμή που πληκτρολογείτε τη seed phrase σας: „ανάκτηση πορτοφολιού σε νέα συσκευή", και τότε μέσα σε μια εφαρμογή πορτοφολιού που εμπιστεύεστε — μέσα στο ίδιο το πορτοφόλι, όχι σε ιστοσελίδα. Οτιδήποτε με το πρόσχημα „επαλήθευση επιλεξιμότητας, ξεκλείδωμα airdrop, συγχρονισμός πορτοφολιού" θέλει να πληκτρολογήσετε τη seed phrase σε ιστοσελίδα, είναι χωρίς εξαίρεση phishing. Το MetaMask δηλώνει και το ίδιο ρητά ότι ποτέ δεν ζητά τη seed phrase σας· δείτε τη σελίδα υποστήριξης για ασφάλεια και απόρρητο.
- Μη βγάζετε ποτέ στιγμιότυπο ή φωτογραφία της seed phrase σας. Οι φωτογραφίες συγχρονίζονται αυτόματα στη συλλογή σας και στο cloud. Αν χακαριστεί ο λογαριασμός cloud ή μολυνθεί το τηλέφωνό σας, την έχετε ουσιαστικά παραδώσει σε απλό κείμενο. Το αντίγραφο το κάνετε με το χέρι.
- Μην τη φυλάτε ποτέ στο cloud, σε συνομιλίες, σε σημειώσεις ή στο email σας. Δίσκοι δικτύου, „μήνυμα στον εαυτό μου", ένα email στον εαυτό σας, συγχρονισμένα memo — όλα μετράνε. Είναι online, και μόλις η seed phrase σας καταλήξει σε online αποθήκευση, δεν είναι πια ασφαλής.
- Μην την πείτε ποτέ σε κανέναν, ούτε στην „εξυπηρέτηση πελατών". Ένα αληθινό project, η αληθινή υποστήριξη πορτοφολιού ή ένας υπάλληλος ανταλλακτηρίου δεν θα ζητήσει ποτέ τη seed phrase σας. Όποιος τη ζητά είναι εκατό τοις εκατό απατεώνας — όσο προσεγμένο κι αν φαίνεται το προφίλ και όσο επείγουσα κι αν ακούγεται η ιστορία. Συχνά κόλπα όπου παρουσιάζονται ως επίσημοι βρίσκονται στα ψεύτικα airdrops και phishing.
Η πιο επικίνδυνη φράση είναι „για την ασφάλεια της περιουσίας σου: επαλήθευσε τη seed phrase σου". Τυλίγει το „παράδοση του κλειδιού σου" ως „έλεγχος ασφαλείας" και παίζει με την επιθυμία σας να προστατέψετε την περιουσία σας. Χαράξτε ένα πράγμα: ένα αληθινό μέτρο ασφαλείας δεν απαιτεί ποτέ να πείτε τη seed phrase σας σε κάποιον ή σε μια σελίδα. Αν δείτε τέτοιο αίτημα, κλείστε αμέσως.
Σωστό αντίγραφο: offline σε χαρτί, πολλά αντίγραφα
Η προστασία της seed phrase σας σημαίνει και: να μην τη χάσετε εσείς οι ίδιοι. Ένα αντίγραφο έχει δύο στόχους: να μην κλαπεί, και να μην γίνει από ένα ατύχημα οριστικά άφαντο.
- Offline αντιγραφή με το χέρι. Γράψτε τη seed phrase κατά τη δημιουργία του πορτοφολιού με τη σωστή σειρά σε χαρτί, μη χρησιμοποιείτε καμία online συσκευή, και ελέγξτε μετά τη σειρά άλλη μία φορά.
- Πολλά αντίγραφα, φυλαγμένα χωριστά. Γράψτε δύο-τρία αντίγραφα σε διαφορετικά φυσικά σημεία, ώστε μία φωτιά ή διάρρηξη να μη σβήσει αμέσως τα πάντα. Αν γίνεται, χρησιμοποιήστε μεταλλική πλάκα που αντέχει φωτιά και νερό.
- Όχι μαζί με τα στοιχεία ταυτότητάς σας. Βάλτε στο χαρτί μόνο τις λέξεις, όχι ποιο πορτοφόλι είναι ή πόσα έχει. Αν το βρει κάποιος, δεν συνδέεται με τίποτα.
- Ελέγχετε τακτικά ότι υπάρχει ακόμη και παραμένει ευανάγνωστο. Το χαρτί παλιώνει και το μελάνι ξεθωριάζει· κοιτάξτε πού και πού αν το αντίγραφό σας είναι ακόμη ακέραιο.
Μια πληρέστερη υπενθύμιση και τα πιο συχνά λάθη τα βάλαμε σε σειρά στον έλεγχο seed phrase ως λίστα.
Airdrops και μεγάλα ποσά: διαχωρισμός κινδύνου με ξεχωριστά πορτοφόλια
Το να μαζεύετε airdrops και να κάνετε αποστολές on-chain σημαίνει στην ουσία: να συνδέετε συνεχώς άγνωστους ιστότοπους, να υπογράφετε τα πάντα και να αλληλεπιδράτε με συμβόλαια που δεν έχετε ξαναδεί. Αυτό είναι εκ φύσεως ριψοκίνδυνο. Η πιο πρακτική γραμμή άμυνας είναι να χρησιμοποιείτε τα πορτοφόλια σας χωριστά.
Φτιάξτε ένα „δοκιμαστικό πορτοφόλι" με μόνο αρκετά για gas και μικρές αλληλεπιδράσεις, και χρησιμοποιήστε το αποκλειστικά για να συνδέετε νέους ιστότοπους, να διεκδικείτε airdrops και να κάνετε αποστολές. Κρατήστε επιπλέον ένα „πορτοφόλι-θησαυροφυλάκιο" για μεγάλα ποσά, που σχεδόν ποτέ δεν συνδέετε με DApp και κατά προτίμηση προστατεύετε με hardware wallet. Έτσι, ακόμη κι αν το δοκιμαστικό πορτοφόλι δώσει κάποτε έγκριση σε κακόβουλο συμβόλαιο, η ζημιά περιορίζεται σε εκείνο το μικρό ποσό. Πώς συσσωρεύονται οι εγκρίσεις και πώς τις ανακαλείτε τακτικά, θα το διαβάσετε στην ανάκληση εγκρίσεων.
Αυτός ο συνδυασμός „πολύ ενεργό, λίγα χρήματα" συν „λίγο ενεργό, πολλά χρήματα" είναι η βασική διάταξη που θα έπρεπε να έχει όποιος μαζεύει airdrops. Αν θέλετε πρώτα το υπόβαθρο των ίδιων των πορτοφολιών Web3, ξεκινήστε από το τι είναι το πορτοφόλι Web3.
Τι είναι ένα hardware wallet
Ένα hardware wallet είναι μια ξεχωριστή συσκευούλα με βασική αποστολή να κρατά το private key σας για πάντα μέσα στη συσκευή — όχι online, μη εξαγώγιμο. Στην υπογραφή μιας συναλλαγής τα δεδομένα μπαίνουν στη συσκευή, η υπογραφή γίνεται εσωτερικά και το αποτέλεσμα βγαίνει ξανά· το private key δεν φεύγει ποτέ από το hardware. Ακόμη κι αν ο υπολογιστής σας έχει trojan, ο επιτιθέμενος δεν φτάνει στο private key σας.
Προστατεύει από „private key κλεμμένο από malware στη συσκευή σας" και είναι κατάλληλο για φύλαξη μεγάλων ποσών μακροχρόνια. Αλλά το όριο πρέπει να είναι ξεκάθαρο: ένα hardware wallet δεν εμποδίζει να εγκρίνετε εσείς οι ίδιοι ένα κακόβουλο συμβόλαιο, και δεν εμποδίζει να αντιγράψετε τη seed phrase σας σε έναν απατεώνα. Για ρύθμιση και ανάκτηση ακολουθείτε πάντα την επίσημη τεκμηρίωση, όπως το άρθρο του Ledger Academy για τη φράση ανάκτησης, που εξηγεί γιατί πρέπει οπωσδήποτε να μένει offline.
Τι κάνετε σε πιθανή διαρροή
Αν κατά λάθος εισάγατε τη seed phrase σας σε μια σελίδα, ή υποψιάζεστε ότι διέρρευσε με οποιονδήποτε τρόπο, αντιμετωπίστε το ως „ήδη διαρρευσμένη" — και γρήγορα. On-chain είναι κούρσα· ένα βήμα αργά και η περιουσία σας μπορεί να φύγει.
- Δημιουργήστε αμέσως ένα εντελώς νέο πορτοφόλι. Παραγάγετε σε καθαρή συσκευή μια ολοκαίνουργια seed phrase και θεωρήστε την παλιά από εδώ και πέρα άκυρη. Προσοχή: πρόκειται για νέα δημιουργία, όχι αλλαγή κωδικού — αυτό δεν βοηθά, γιατί η seed phrase μένει ίδια και ο έλεγχος είναι ακόμη στον άλλο.
- Μεταφέρετε την περιουσία σας πριν το κάνει ο άλλος. Μεταφέρετε ό,τι μένει στο παλιό πορτοφόλι όσο πιο γρήγορα γίνεται στο νέο· αν έχετε staking ή κλειδωμένες θέσεις, μεταφέρετε πρώτα ό,τι μπορεί να μεταφερθεί.
- Ανακαλέστε όλες τις εγκρίσεις του παλιού πορτοφολιού. Χρησιμοποιήστε το revoke.cash για να ελέγξετε και να ανακαλέσετε τις εγκρίσεις που έδωσε η παλιά διεύθυνση, ώστε να μη συνεχιστεί η διαρροή.
- Βρείτε την πηγή της διαρροής. Την πληκτρολογήσατε σε σελίδα phishing, μολύνθηκε η συσκευή σας, ή βρέθηκε το αντίγραφό σας; Αν δεν βρείτε την πηγή, και το νέο πορτοφόλι μπορεί να χακαριστεί ξανά. Δείτε το κέντρο υποστήριξης MetaMask.
Μετά από μια διαρροή, το „ας περιμένω να δω αν όλα πάνε καλά" είναι το χειρότερο που μπορείτε να κάνετε. Όποιος έχει τη seed phrase σας μπορεί να χτυπήσει ανά πάσα στιγμή — συχνά ακριβώς όταν δεν προσέχετε ή τη στιγμή που μπαίνει κάτι. Μεταφέρετε αμέσως ό,τι πρέπει να μεταφερθεί και φτιάξτε αμέσως νέο πορτοφόλι· μη δίνετε στον άλλο χρονικό παράθυρο.
Κλείνω. Η seed phrase και το private key σας είναι το μοναδικό σημείο σε όλο αυτό το σύστημα όπου δεν επιτρέπεται να κάνετε λάθος — οι περισσότερες άλλες παγίδες αποκαθίστανται, αλλά αυτή η σειρά λέξεων είναι οριστική μόλις την παραδώσετε. Χαράξτε το κατώτατο όριο στη μνήμη σας: μπαίνει μόνο στο πορτοφόλι που εμπιστεύεστε για ανάκτηση, και ποτέ σε καμία ιστοσελίδα, ποτέ σε κανέναν, ποτέ σε κάτι που είναι online. Κρατηθείτε σε αυτόν τον έναν κανόνα, και κρατάτε την πιο μοιραία κατηγορία ζημιάς εκτός.