ความปลอดภัย 101: กระเป๋าเงินฮาร์ดแวร์และ Revoke.cash

บทคัดย่อ: คริปโตคือ "การดูแลตนเอง" (Self-Custody) นั่นหมายความว่าคุณเป็นธนาคาร หากคุณถูกแฮ็ก ไม่มีหมายเลขบริการลูกค้าให้โทร คู่มือนี้ครอบคลุมรูปแบบความปลอดภัย "Swiss Cheese": กระเป๋าเงินฮาร์ดแวร์สำหรับการจัดเก็บ กระเป๋าเงินร้อนสำหรับการซื้อขาย และ Revoke.cash สำหรับสุขอนามัย

1. Hot Wallet vs. Cold Wallet

• Hot Wallet (MetaMask, Phantom): เชื่อมต่อกับอินเทอร์เน็ต ดีสำหรับการซื้อขาย ความเสี่ยง: หากคอมพิวเตอร์ของคุณติดไวรัส กุญแจของคุณอาจถูกขโมย
  • กฎ: เก็บเฉพาะสิ่งที่คุณยอมเสียได้ (เงินค่าขนม)
• Cold Wallet (Ledger, Trezor): ไม่เชื่อมต่อกับอินเทอร์เน็ต กุญแจส่วนตัวของคุณไม่เคยออกจากอุปกรณ์ USB คุณเซ็นธุรกรรมโดยกดปุ่มทางกายภาพ ปลอดภัย: แม้ว่าคอมพิวเตอร์ของคุณจะมีไวรัส แฮ็กเกอร์ก็ไม่สามารถเซ็นชื่อได้หากไม่มีอุปกรณ์ทางกายภาพ
  • กฎ: เก็บเงินออมของคุณที่นี่ (เหมือนตู้เซฟที่บ้าน)

2. ฆาตกรเงียบ: การอนุมัติไม่จำกัด (Infinite Approval)

ครั้งแรกที่คุณซื้อขายบน Uniswap มันถามว่า: "Approve USDT?" คนส่วนใหญ่คลิก "Max" หรือ "Unlimited" คุณเพิ่งอนุญาตให้ Uniswap ใช้ USDT ทั้งหมด ของคุณตลอดไปผ่าน Smart Contract หาก Uniswap ถูกแฮ็ก (ไม่น่าจะเกิดขึ้น แต่เป็นไปได้) แฮ็กเกอร์สามารถระบาย USDT ของคุณได้แม้ว่า Ledger ของคุณจะอยู่ในตู้เซฟ

ทางแก้:

1. อนุมัติเท่าที่จำเป็น: หากคุณแลกเปลี่ยน 100 ดอลลาร์ ให้อนุมัติ 100 ดอลลาร์ อย่าเลือก "Unlimited"
2. Revoke.cash: เครื่องมือสแกนการอนุมัติเก่า (รวมอยู่ใน TradingMaster) คุณอนุมัติโครงการ NFT นั้นในปี 2022 หรือไม่? เพิกถอนมัน (Revoke) ปิดประตูหลัง

3. การป้องกันแบบ "Swiss Cheese"

ไม่มีเลเยอร์ใดที่สมบูรณ์แบบ ใช้หลายเลเยอร์

1. ฮาร์ดแวร์: ใช้ Ledger/Trezor
2. การแยกส่วน: อย่าเก็บเงินออม NFT และ DeFi ไว้ในกระเป๋าเดียวกัน
3. VPN: อย่าซื้อขายบน Wi-Fi Starbucks โดยไม่มี VPN
4. 2FA: ปกป้องอีเมลและบัญชีแลกเปลี่ยนของคุณด้วย YubiKey หรือแอป Authenticator ห้ามใช้ SMS 2FA (SIM swap)

4. Phishing: ความผิดพลาดของมนุษย์

99% ของ "การแฮ็ก" คือ "ฟิชชิ่ง" คุณได้รับอีเมล: "TradingMaster Airdrop! Claim Now!" คุณคลิกลิงก์ มันดู เหมือน เว็บไซต์ของเราเป๊ะ คุณเชื่อมต่อกระเป๋าเงิน มันขอลายเซ็น คุณเซ็น ตูม กระเป๋าเงินว่างเปล่า ลายเซ็นนั้นคือ "ใบอนุญาต" (Permit) ที่ให้พวกเขาเอาเงินของคุณไป

การป้องกัน:

• คั่นหน้า (Bookmark) เว็บไซต์ อย่าคลิกโฆษณา Google
• อ่านสิ่งที่คุณกำลังเซ็น หากธุรกรรมระบุว่า "Set Approval for All" ให้ปฏิเสธ

บทสรุป

ในคริปโต ความหวาดระแวงเป็นคุณธรรม สมมติว่าทุกอย่างเป็นการหลอกลวงจนกว่าจะได้รับการพิสูจน์ ใช้เวลาหนึ่งชั่วโมงในสุดสัปดาห์นี้เพื่อตั้งค่า Ledger และรันการสแกน Revoke.cash ตัวคุณในอนาคตจะขอบคุณ