Para tam olarak nasıl çıkar — ve herhangi bir cüzdanda neyi kontrol etmeli
Her yolun altında: ne olur, gerçek olay, bir dakikalık kontrol ve Mitilena için dürüst cevap. «Bizde nasıl» blokları uygulama koduna karşı kontrol edildi. «Bize güvenin» değil: web derlemesini yerel proxy’den geçirip tüm trafiği çözülmüş halde görebilirsiniz.
Anahtar başka yerde doğar
Cüzdan anahtarı sunucuda üretir veya oluşturmadan hemen sonra oraya gönderir — “bulut yedeği” veya “telefon numarasıyla kurtarma” diye. O andan itibaren coinlerinizi harcayabilecek tek kişi siz değilsiniz.
Anahtar rastgele — ama öngörülebilir
Anahtar çok büyük bir rastgele sayıdır. RNG zayıfsa gerçek anahtar azdır ve saldırganlar tüm müşterileri birden brute-force eder — bazen yıllar sonra. Donanım cüzdan kurtarmaz: üreteç orada da durur.
Anahtar log ve analitikten sızar
Kimse çalmak istememişti. Çökme raporu veya analitik olayı tüm ekranı yakalamıştı — seed ifadesi dahil. Loglar üçüncü taraf serviste durur; düzinelerce kişiye ve o servisi hackleyen herkese açıktır.
Bir şey görürsünüz, başka şey imzalarsınız
Ekranda: anneye transfer. İmzada: hırsıza transfer veya sözleşme sahibi değişikliği. Pano trojanı, tarayıcı eklentisi veya hacklenmiş arayüz değiştirir. İmza gerçektir — sizindir — ve ağ kabul eder.
Transfer değil — bir onay imzalıyorsunuz
Bir site “cüzdanı bağla ve onayla” der. Sınırsız approve veya Permit imzalarsınız — yabancı sözleşme tokenlerinizi istediği zaman çekebilir: bir gün veya bir ay sonra.
Arka kapılı güncelleme
Cüzdan dürüsttür; kütüphane veya derleme değildir: hacklenen geliştirici hesabı, değiştirilmiş bağımlılık, derleme makinesinde yabancı kod. Sonraki güncelleme herkesten birden anahtar alır — siz yalnızca Güncelle’ye bastınız.
Cüzdan gibi görünen sahte
Aynı ad ve ikonla mağaza klonu, benzer site, gerçeğin üstünde reklamlar, Telegram’da “güncelleme”. İçinde: “kurtarmak için seed’inizi girin” formu. Ne yazarsanız hırsıza gider.
Saklamayan gibi giydirilmiş saklayan
Arayüz cüzdan gibi görünür ama anahtarınız yoktur: coinler şirketin hesabındadır, siz veritabanında bir satırsınız. Şirket dondurabilir, belge isteyebilir, batabilir veya kaybolabilir. Bu başka bir üründür — ve bunu açıkça söylemeleri gerekir.
Anahtar cihazda açık durur
Cüzdan anahtarı “kolaylık için” kaydeder — şifresiz dosyada, iCloud veya Google yedeğinde, ekran görüntüsünde. Bundan sonra kriptografiyi kırmaya gerek yoktur — yedeğe erişim veya telefonla beş dakika yeter.
Anahtar imzanın kendisinden sızar
En sessiz yol. ECDSA imzası rastgele bir sayı taşır; değiştirilmiş bir kütüphane anahtarınızın parçalarını iki-üç sıradan imzanın içine gizleyebilir. Her şey çalışır; zinciri okuyan anahtarı yeniden birleştirir.
Takasta sessiz kesinti
Cüzdan “çalmıyor” — “kazanıyor”: takas kendi wrapper sözleşmesinden geçer, kurun içine marj gömülür, slippage fark etmeyeceğiniz şekilde ayarlanır. Para yine sessizce çıkar.
Seed’i içeriden isterler
Cüzdan sohbetinde “destek”, “kurtarma ifadenizi onaylayın” popup’ı, “güvenlik güncellemesi” e-postası. Cüzdan gerçek olabilir; pencere değildir: eklenti, üzerine binmiş sayfa, sızmış müşteri listesine mail.
Cüzdanınızı beş dakikada kontrol edin
On iki soru. Ne kadar çok “evet”, o kadar içiniz rahat. Kaydedin ve herhangi bir cüzdanı — bizimkini de — bundan geçirin.
Bir cüzdanın durduramayacağı şeyler
Çalınan anahtar hemen çalınan para demek değildiröncelikle
Cüzdan bir yıl önce ele geçirilmiş olabilir; para büyük tutar yatırdığınız gün çıkar — ve nereye ne kurduğunuzu hatırlamazsınız. Bu yüzden ara sıra yeni cüzdan açın, fonları taze anahtara taşıyın — özellikle büyük yüklemeden önce — ve uygulamayı güncel tutun.
Cihazınızdaki virüs
Keylogger, pano trojanı, destek için “uzaktan erişim”. İmza başlattığınız yerde olur: enfekte telefonda güvenli cüzdan yoktur. Büyük tutarlarda — NFC kart veya interneti olmayan cihazda imza.
Açıkta seed
Galeride fotoğraf, bulutta not, monitörde etiket. Cüzdan anahtarı doğru saklar — kopyayı siz verdiniz.
Kendiniz imzaladınız
Sahte proje, “garantili getirili yönetici”, “çekimi onaylayın”. Cüzdan ne imzaladığınızı gösterir — karar sizde kalır.
Herkese açık blokzincir
Adresler, tutarlar ve transfer zamanları sonsuza dek herkese açıktır. Gizlilik adres hijyeninden veya Monero gibi ağlardan gelir — cüzdandan değil.
“Açık kaynak”a körü körüne güvenmeyin
Herkese açık depo kurtarmaz: yayında tek enjeksiyon yeter. Gerçek kontrol, her şeyin çözüldüğü yerel proxy’li standda kendi trafiğinizdir. Mitilena’yı böyle incelemeye davet ediyoruz: anahtar alışverişte çıkmaz — gözünüzle görürsünüz, “GitHub yeşil diye” değil.
Yazılım yetmezse — aptal taşıyıcı ve air-gap alın
Fabrikadan “sihirli çip” değil. Mitilena NFC kartı, siz şifrelediğiniz anahtar için yalnızca bellektir. Ultimate kit, interneti olmayan cihazda üretim ve imza ekler: anahtarın ağ üzerinden sızacak yeri yoktur. Kartlar boş gelir — kurye ve depo denklem dışındadır.
Cihazınızdaki virüs
SIM’siz ve internetsiz ayrı telefonda imzalayın: işlem oraya QR ile gider ve imzalı döner; anahtar ağa bağlı cihazda hiç durmaz. Daha basit katman — ana telefonda kart: anahtar imza saniyesinde izole ortamda belirir ve silinir.
Açıkta seed ve ekran görüntüleri
Seed yoktur: anahtar Mitilena Air’de çevrimdışı doğar ve karta şifreli yazılır. Fotoğraflanacak bir şey yok; şifresiz bulunan kart veya sticker işe yaramaz plastiktir.
Kayıp, ıslanmış, yanmış
Kutuda beş ayna kopya: iki NFC kart ve 10+ yıl için su geçirmez plastikte üç stealth sticker. Biri gitti — diğerleri çalışır.
Kendiniz onayladığınız dolandırıcılık
Hiçbir taşıyıcı gözünüzün yerini tutmaz: ekrandaki tutar ve adres sizindir. Çevrimdışı imza, transferi ayrı cihazda kontrol için ekstra saniye verir ama düğme yerine düşünmez. Herkese açık zincir de gizlemez — Monero ve adres hijyeni bunun içindir.
Buraya kadar okuyanların sorduğu
“Güvenli çipli” donanım cüzdan — soğuk, değil mi?
Çoğu zaman hayır. Secure element kapalı kodlu bir mini bilgisayardır: anahtarları kendi üretir ve kendi imzalar; silikonda ne olduğu görünmez. Coldcard bunu zaten gösterdi: firmware’de zayıf RNG, cihaza erişmeden brute-force edilen anahtarlar. Ledger polis talebiyle erişimden açıkça bahsetti. Gerçek soğuk, taşıyıcı aptalken şifreleyen ve imzalayanın siz olduğunuzdur. Mitilena NFC kartları böyle çalışır: ciphertext’iniz için boş bellek, başkasının mikrobilgisayarı değil.
Cüzdanın anahtarımı tuttuğunu nasıl anlarım?
Doğrudan — yapamazsınız: trafik şifrelidir. Dolaylı — oluşturmada uçak modu, anahtar dışa aktarma, sunucusuz çalışma, adlandırılmış kütüphaneler, izleyici yok. Cüzdan anahtarı e-posta veya telefon numarasıyla “kurtarıyorsa” — anahtarı kesinlikle ondadır.
Dolandırıcıya onay imzaladıysam ne olur?
Hemen iptal edin (revoke.cash veya ağınızın eşdeğeri) ve tokenleri yeni adrese taşıyın. Site gitmiş olsa bile onay iptal edilene kadar durur.
Anahtarın sunucuya gitmediğini nasıl kontrol ederim?
“GitHub’ımızı açın” ile değil. Stand ile: yerel proxy tüm uygulama trafiğini çözer — paketleri kendiniz inceleyin. Anahtar alışverişte yoksa görürsünüz. Rehber: mitelena.com/our-code-is-open-for-verification.