Web3 bez zabezpieczeń: błąd, który kosztuje najwięcej

Jak przechowywać klucze, żeby nie stracić dostępu Po zakupie portfela sprzętowego najważniejsza jest kopia zapasowa. Urządzenie generuje frazę odzyskiwania (najczęściej 12 lub 24 słów) – to jedyny sposób na odzyskanie środków, jeśli portfel zginie lub się zepsuje. Zapisz tę frazę na fizycznym nośniku, np. na kartce, i schowaj w bezpiecznym miejscu, najlepiej w sejfie. Nie przechowuj jej w formie cyfrowej – ani w notatniku w telefonie, ani w pliku na komputerze, ani w chmurze. Cyberprzestępcy przeszukują nie tylko hasła, ale też zrzuty ekranu i zsynchronizowane pliki.

EIP-7212 umożliwia weryfikację podpisów opartych na krzywej secp256r1 bezpośrednio w sieci Ethereum, co pozwala używać dokładnie tych samych kluczy, które są wbudowane w układy TPM czy funkcję Face ID. Dzięki temu portfel może być zarządzany przez standardowy mechanizm passkeys – system przechowuje klucz prywatny w bezpiecznym obszarze sprzętowym, a Ty uwierzytelniasz się biometrią lub PIN-em. EIP-7702 z kolei pozwala na tymczasowe nadanie istniejącemu kontu zewnętrznemu logiki inteligentnego kontraktu, co umożliwia implementację takich funkcji jak odzyskiwanie społecznościowe, limity transakcji czy płatności abonamentowe bez konieczności migracji na nowy adres.

Najczęstszym błędem jest poleganie wyłącznie na passkey bez kopii zapasowej. W przeciwieństwie do seedu, którego zgubienie oznacza utratę środków, passkey może zostać usunięty przez reset systemu operacyjnego. Dlatego zawsze konfiguruj drugi passkey na innym urządzeniu, a najlepiej również wygeneruj tzw. „recovery code" – jednorazowy kod zapasowy, który pozwala odzyskać konto przez podpisanie wiadomości z innego portfela.

Kolejny krok to zabezpieczenie samego urządzenia i komputera, z którego korzystasz. Zainstaluj aktualne oprogramowanie antywirusowe, włącz dwuskładnikowe uwierzytelnianie (2FA) na wszystkich kontach powiązanych z kryptowalutami, a do logowania na giełdzie używaj aplikacji generującej kody, a nie wiadomości SMS – karty SIM można przechwycić. Unikaj logowania się do portfela na publicznych sieciach Wi-Fi, bo ruch w nich można łatwo podsłuchać. Jeśli musisz sprawdzić saldo w podróży, użyj danych komórkowych z telefonu i włącz VPN.

Regularne dokupywanie kryptowalut wydaje się proste, ale w praktyce większość osób działa pod wpływem chwili. Gdy kurs rośnie, pojawia się presja, żeby „nie przegapić okazji". Gdy spada, strach podpowiada, żeby wstrzymać się lub sprzedać ze stratą. Tymczasem uśrednianie pozycji ma sens tylko wtedy, gdy opiera się na stałych regułach, a nie na nastrojach. W tym poradniku pokazuję, jak wprowadzić mechaniczny system zakupów, który wyłącza emocje.

Na koniec – przemyśl, gdzie przechowujesz informacje o swojej inwestycji. Jeśli masz sporo środków, nie chwal się tym publicznie w mediach społecznościowych. Możesz paść ofiarą ataku fizycznego, a nawet szantażu. Warto też przygotować testament cyfrowy – zapisz instrukcje dla bliskich, gdzie znajdują się klucze i jak je wykorzystać, ale przechowuj te informacje w bezpiecznym miejscu, np. u notariusza. Bez tego, jeśli coś ci się stanie, twoje kryptowaluty przepadną na zawsze.

Czwarty błąd to ignorowanie kosztów transakcyjnych i limitów gazowych. W sieciach takich jak Ethereum opłaty potrafią wzrosnąć wielokrotnie, a niektórzy użytkownicy ustawiają zbyt niski limit, przez co transakcja wisi godzinami. Z drugiej strony, zbyt wysoki limit może spowodować utratę nadwyżki na rzecz walidatora. Zanim wyślesz transakcję, sprawdź aktualne ceny gazu w eksploratorze bloków i ustaw limit tylko nieznacznie wyższy od szacunkowego. To proste, ale wielu wpada w pułapkę automatycznych ustawień.

Większość osób trzyma kryptowaluty na giełdzie, bo to wygodne. Ale giełda to nie bank – nie masz tam gwarancji zwrotu środków, a historia pokazuje, że nawet duże platformy padały ofiarą włamań. Jeśli chcesz naprawdę zabezpieczyć swoje aktywa, pierwszym krokiem jest przeniesienie ich do portfela, nad którym masz pełną kontrolę. Najlepiej sprawdzi się portfel sprzętowy, czyli fizyczne urządzenie, które trzyma klucze prywatne offline. Kosztuje, ale to inwestycja w spokój – w porównaniu z potencjalną stratą całego portfela to drobiazg.

Typowy błąd, który popełnia większość początkujących, to trzymanie wszystkich środków w jednym miejscu. Nawet jeśli masz portfel sprzętowy, rozdziel aktywa na kilka adresów – część na codzienne transakcje, część na długoterminowe przechowywanie (np. w portfelu z zimnym storage). Dzięki temu, jeśli jedno urządzenie zostanie skompromitowane, nie stracisz wszystkiego. Pamiętaj też o regularnych aktualizacjach oprogramowania portfela – producenci łatają luki bezpieczeństwa, więc korzystanie ze starych wersji to proszenie się o kłopoty.

Passkeys nie są jeszcze srebrną kulą, ale w połączeniu z EIP-7702 oferują UX porównywalny z bankowością internetową. Dla przeciętnego użytkownika to koniec koszmaru przechowywania fraz, a dla deweloperów – możliwość budowania portfeli z odzyskiwaniem bez serwerów. Kluczowe jest jednak świadome podejście: dwa passkeys, kod odzyskiwania i testy na małych kwotach. Zanim wymażesz swój seed, upewnij się, że nowe rozwiązanie działa dokładnie tak, jak tego oczekujesz.