Πώς κατεβάζεις πορτοφόλι κρύπτο χωρίς να πέσεις σε ψεύτικο;

Οι περισσότεροι σκέφτονται την ασφάλεια όταν το πορτοφόλι έχει ήδη χρήματα. Ο πρώτος κίνδυνος όμως έρχεται νωρίτερα: τη στιγμή που ψάχνεις πού να το κατεβάσεις. Αν εγκαταστήσεις κάτι ψεύτικο, όσα κάνεις μετά στηρίζονται σε σαθρή βάση.

Εδώ έχεις μια λίστα ελέγχου για το πριν από το «Install» (δηλαδή το κουμπί εγκατάστασης). Αφορά μόνο τη λήψη και την εγκατάσταση. Δεν μιλάμε ακόμη για χρήματα, ούτε για το ποιος τύπος πορτοφολιού σού ταιριάζει. Τα στοιχεία βγαίνουν από επίσημες σελίδες που αναφέρονται στο τέλος.

Από πού κατεβάζω με ασφάλεια ένα πορτοφόλι;

Από το επίσημο site του έργου, και όχι από όποιο αποτέλεσμα εμφανιστεί πρώτο. Το σημείο εκκίνησης πρέπει να είναι κάτι που έχεις ήδη επαληθεύσει.

Υποθετικό παράδειγμα: γράφεις στη μηχανή αναζήτησης «όνομα πορτοφολιού download». Το πρώτο αποτέλεσμα είναι διαφήμιση με domain που μοιάζει πολύ με το αληθινό, ίσως με ένα γράμμα παραπάνω. Η σελίδα είναι ίδια στην όψη. Αν πατήσεις, δεν έχεις τρόπο να καταλάβεις τι κατεβάζεις.

Ο κανόνας είναι απλός: δεν ξεκινάς από τη διαφήμιση. Ξεκινάς από ένα επίσημο site που έχεις ελέγξει με ανεξάρτητη πηγή, π.χ. τη λίστα πορτοφολιών μιας γνωστής σελίδας εκπαίδευσης, όπως το ethereum.org ή το bitcoin.org. Από εκεί πας στο επίσημο site και κάνεις bookmark, δηλαδή το αποθηκεύεις στους σελιδοδείκτες του browser. Την επόμενη φορά ανοίγεις το bookmark και όχι αναζήτηση.

Το ethereum.org το λέει για τα πορτοφόλια που ανοίγουν μέσα στον browser (web wallets): κάνε bookmark στο site, για να προστατευτείς από απάτες phishing. Phishing είναι η απάτη όπου ένα ψεύτικο μήνυμα ή site παριστάνει κάτι αληθινό, για να σου πάρει στοιχεία. Για τα ψεύτικα μηνύματα έχουμε ξεχωριστό οδηγό: πώς καταλαβαίνεις ένα ψεύτικο μήνυμα ή υποστήριξη.

Πώς ελέγχω το domain πριν πατήσω «Κατέβασε»;

Domain είναι η διεύθυνση του site, π.χ. το κομμάτι που φαίνεται μετά το https://. Το ethereum.org συμβουλεύει να ελέγχεις πάντα ότι βρίσκεσαι στο σωστό domain, ειδικά αφού πατήσεις κάποιο link. Η φράση ισχύει για κάθε βήμα της διαδρομής.

Ένας πρακτικός έλεγχος:

1. Διάβασε τη διεύθυνση γράμμα προς γράμμα, όχι με μια ματιά.
2. Σύγκρινέ την με το bookmark ή με το link που έχεις επαληθεύσει.
3. Αν ήρθες από link που σου έστειλαν ή από διαφήμιση, κλείσε τη σελίδα και άνοιξε το bookmark.
4. Αν η σελίδα σε στέλνει κάπου αλλού για τη λήψη, ξαναγύρνα στο βήμα 1.

Η FTC, η αμερικανική αρχή προστασίας καταναλωτών, δίνει μια γενική αρχή για τα phishing: αν χρειάζεται να επικοινωνήσεις με μια εταιρεία, χρησιμοποίησε τηλέφωνο ή site που ξέρεις ότι είναι αληθινά, όχι τα στοιχεία από το μήνυμα. Δεν αφορά ειδικά τα πορτοφόλια, αλλά ταιριάζει εδώ.

Πώς καταλαβαίνω ότι μια επέκταση είναι ψεύτικη;

Δεν μπορούμε να σου δώσουμε ασφαλές τεστ που πιάνει τα πάντα. Μπορούμε να σου δώσουμε συνήθειες που μειώνουν το ρίσκο.

Πολλά πορτοφόλια υπάρχουν ως επεκτάσεις του browser, δηλαδή μικρά προγράμματα που προστίθενται σε αυτόν. Το ethereum.org προτείνει να εγκαθιστάς επεκτάσεις μόνο από αξιόπιστες πηγές. Προσθέτει και κάτι που συχνά ξεχνιέται: αν δεν χρησιμοποιείς πια μια επέκταση, αφαίρεσέ την. Μια επέκταση που ήταν ασφαλής μπορεί αργότερα να περιέχει κακόβουλο κώδικα.

Στην πράξη:

• Φτάνεις στη σελίδα της επέκτασης μέσα από το επίσημο site, όχι από αναζήτηση στο κατάστημα επεκτάσεων.
• Ελέγχεις ότι το όνομα του εκδότη ταιριάζει με το έργο που ξέρεις.
• Κάνε καθαρισμό: άνοιξε τη λίστα επεκτάσεων του browser και βγάλε όσες δεν χρησιμοποιείς.

Το bitcoin.org προειδοποιεί και για κάτι ευρύτερο: ορισμένα πορτοφόλια φορτώνονται σε υπολογιστές που είναι ευάλωτοι σε κακόβουλο λογισμικό. Αν ο υπολογιστής σου δεν είναι καθαρός, κανένας έλεγχος στη λήψη δεν αρκεί.

Χρειάζεται να ενημερώνω το πορτοφόλι;

Ναι. Σύμφωνα με το bitcoin.org, η τελευταία έκδοση του λογισμικού φέρνει σημαντικές διορθώσεις σταθερότητας και ασφάλειας. Η CISA προτείνει να ανοίξεις τις αυτόματες ενημερώσεις στις ρυθμίσεις ασφαλείας της συσκευής ή της εφαρμογής. Έτσι δεν εξαρτάσαι από το να θυμηθείς.

Υπάρχει όμως μια παγίδα. Η ίδια η CISA αναφέρει ότι επιτιθέμενοι έστειλαν email με κακόβουλα αρχεία, μεταμφιεσμένα σε ενημερώσεις. Γι’ αυτό η συμβουλή της είναι να κατεβάζεις ενημερώσεις μόνο από τα site αξιόπιστων κατασκευαστών.

Είναι ασφαλές να πατάω σε link «ενημέρωσης» που μου έστειλαν;

Όχι. Μια ενημέρωση που έρχεται σε email, μήνυμα ή διαφήμιση δεν είναι ο σωστός δρόμος. Η σωστή ενημέρωση έρχεται από μέσα από την ίδια την εφαρμογή ή από το bookmark σου στο επίσημο site.

Αν ένα μήνυμα λέει «το πορτοφόλι σου κινδυνεύει, ενημέρωσε τώρα», η βιασύνη είναι το προειδοποιητικό σημάδι. Κλείσε το μήνυμα και άνοιξε μόνος σου το επίσημο site.

Πρέπει να έχω λογαριασμό πριν το κατεβάσω;

Όχι. Το ethereum.org σημειώνει ότι τα περισσότερα προϊόντα πορτοφολιών σού δημιουργούν λογαριασμό μόνα τους, άρα δεν χρειάζεται να έχεις ήδη έναν. Επομένως, αν μια σελίδα ζητά στοιχεία ή χρήματα πριν σε αφήσει να κατεβάσεις, κάτι δεν πάει καλά.

Η εγκατάσταση καταλήγει σε κάτι πολύ σημαντικό: τη φράση ανάκτησης. Το ίδιο το ethereum.org υπενθυμίζει ότι εσύ φέρεις την ευθύνη για τα κλειδιά σου, ότι οι συναλλαγές δεν αντιστρέφονται και ότι ένα πορτοφόλι δεν ανακτάται εύκολα. Για το πώς τη φυλάς, δες το άρθρο για τη seed phrase. Και αν δεν έχεις αποφασίσει ακόμη τι τύπο πορτοφολιού θέλεις, ξεκίνα από το hot ή cold πορτοφόλι.

Τι σημαίνει αυτό για σένα;

• Άνοιξε πάντα το bookmark, όχι τη μηχανή αναζήτησης, όταν θέλεις το επίσημο site ενός πορτοφολιού.
• Διάβασε το domain γράμμα προς γράμμα, ειδικά αφού πατήσεις κάποιο link.
• Κράτα λίγες επεκτάσεις. Βγάλε όσες δεν χρησιμοποιείς και εγκατέστησε νέες μόνο από αξιόπιστη πηγή.
• Άνοιξε τις αυτόματες ενημερώσεις και μην πατάς ποτέ link «ενημέρωσης» που σου στάλθηκε.

Τελευταία πρακτική συμβουλή, δική μας γνώμη και όχι ισχυρισμός κάποιας πηγής: την πρώτη φορά δοκίμασε με υποθετικά 10 €, όχι με το ποσό που θέλεις να κρατήσεις. Αν κάτι δεν πάει καλά στη λήψη, το κόστος μένει μικρό.