Cold Storage için Sadece İzleme Cüzdanı Güvenle Kurma

Watch-only wallet gerçekte nedir

Watch-only wallet, anahtar çifti kurulumunuzun yalnızca herkese açık yarısıyla yüklenmiş bir Bitcoin cüzdanıdır. Adreslerinizi, bakiyenizi ve işlem geçmişinizi bilir, ancak özel anahtarları yoktur ve bu nedenle bir işlemi imzalayamaz. Düşündüğünüzde bu, sorumlulukların mükemmel biçimde ayrılmasıdır: bir cihaz imzalama gibi tehlikeli işlemi üstlenir, diğeri ise izleme ve adres oluşturma gibi okuma ağırlıklı işi yapar.

Bunun çalışmasını sağlayan püf noktası, Bitcoin cüzdanının yapısıdır. Modern cüzdanlar tekil anahtar dosyaları değildir. Bir ana seed'den çocuklardan oluşan bir ağaç üzerinden türetilirler ve bu ağacın herkese açık tarafı, extended public key adı verilen tek bir dize olarak dışa aktarılabilir. En yaygın biçimler xpub (legacy), ypub (native segwit) ve zpub (taproot) biçimleridir. Bu dizeye sahip olan herkes, cüzdanınızın şimdi ve gelecekte üreteceği her adresi türetebilir, ancak bu adreslerden harcama yapamaz çünkü özel dal hiçbir zaman paylaşılmaz.

Yani watch-only wallet, aslında seed yerine extended public key ile başlatılmış normal bir cüzdandır. Yazılım, tüm harcama düğmelerinin pasif görünmesi dışında aradaki farkı anlayamaz. Bakiyelerin girişini izleyebilir, gönderici için yeni alım adresleri oluşturabilir ve bir işlem taslağı hazırlayabilirsiniz. Yayınlamayı denediğiniz anda cüzdan bunu reddeder, çünkü imzalayacak hiçbir şeyi yoktur.

Ne ters gidebilir: gerçek risk xpub sızıntılarıdır

Çoğu başlangıç rehberi watch-only wallet'ları neredeyse bedava güvenlik gibi ele alır. Bedava değildirler. En yaygın hata, bir xpub, ypub veya zpub'ı herkese açık bir ödeme bağlantısı gibi görüp gelişigüzel paylaşmaktır. Öyle değildir. Extended public key, cüzdanınızın geçmişte ve gelecekte üreteceği her adres için deterministik bir üreteçtir. Ona sahip olan herkes tüm bakiye geçmişinizi haritalayabilir, her adresi kendi veritabanında etiketleyebilir ve yeni yatırımların gelişini gerçek zamanlı olarak izleyebilir.

Riskler üç gruba ayrılır. Birincisi, gizlilik kaybı. Chain analytics şirketleri sızan xpub'ları altın değerinde görür. Biri veritabanlarına girdikten sonra, ondan türetilen her adres sonsuza kadar aynı varlıkla etiketlenir. Bu da çoğu zaman takma adlı sahiplerin anonimliğini ortadan kaldırır. İkincisi, hedef hâline gelme. Bir saldırgan tahmin edebildiği bir adreste büyük bir bakiye görürse, operasyonel hataları bulmak için güçlü bir motivasyona sahip olur: bir phishing e-postası, dikkatsiz bir saklama hizmeti, savunmasız bir yazılım tedarik zinciri. Üçüncüsü, sosyal mühendislik. Sızmış bir xpub ile çalınmış bir kullanıcı adı veya adres defteri kaydı birleştiğinde, size ya da karşı tarafınıza karşı inandırıcı kimliğe bürünme saldırıları başlatmak için yeterli olur.

Dürüst özet şu: watch-only wallet güvenlidir çünkü anahtarlarınızı içermez. Aynı zamanda yanlış kullanıldığında mali durumunuz hakkında kayda değer miktarda bilgi sızdıran bir araçtır. Extended public key'i otomatik güncellenen bir banka ekstresi gibi ele alın. Onu web formlarına yapıştırmayın, bulut notlarında saklamayın ve kesinlikle ihtiyaç duymayan kimseyle paylaşmayın.

Electrum vs Sparrow: yalnızca izleme için hangisini seçmeli

Electrum daha eski ve sahada daha fazla sınanmış seçenektir. Yalnızca izleme desteği yerleşik olarak gelir. Yeni bir cüzdan oluşturduğunuzda Electrum, onu nasıl içe aktarmak istediğinizi sorar ve seçeneklerden biri bir ana açık anahtar kullanmaktır. xpub, ypub veya zpub değerini yapıştırırsınız, Electrum adres ağacını yeniden oluşturur ve senkronizasyona başlar. Arayüz güzel olmaktan çok işlevseldir ve temelde her masaüstü işletim sisteminde çalışır.

Sparrow Wallet daha modern bir seçimdir ve öz saklama kullanıcıları arasında giderek daha popüler hale gelmektedir. Aynı yalnızca izleme içe aktarmasını destekler, ancak soğuk saklama için önemli olan iki şey ekler. İlki, UTXO yönetimi ve coin control dahil olmak üzere cüzdanınızın yapısını net bir görsel modelle göstermesidir. İkincisi, imzasız işlemlerin PSBTs (Partially Signed Bitcoin Transactions) olarak bir dosyaya veya QR koduna aktarılabildiği, çevrimdışı imzalanıp imza eklenmiş şekilde yeniden içe aktarılabildiği yerleşik bir airgap mekanizmasıdır. Bu airgap iş akışı, soğuk cihazı kalıcı olarak ağdan ayrı tutmak için altın standarttır.

Çoğu uzun vadeli yatırımcı için bugün daha iyi varsayılan seçenek Sparrow’dur. Daha iyi coin control, daha iyi ücret tahmini ve daha şeffaf bir airgap mekanizması sunar. Zaten Electrum kullanıyorsanız ve ona alışkınsanız geçiş yapmanız gerekmez. Önemli olan, hangisini seçerseniz seçin onu güvenliği sıkılaştırılmış bir makinede çalıştırmanız, indirme imzasını doğrulamanız ve seed ifadenizi asla yalnızca izleme cihazına yazmamanızdır.

Adım adım: Sparrow’da yalnızca izleme cüzdanı oluşturma

Soğuk cihazda başlayın. Bu, seed ifadenizi tutacak ve bir daha asla internete bağlanmayacak makinedir. Sparrow’u resmi siteden kurun, geliştiricinin imzasını doğrulayın ve ardından yeni bir cüzdan oluşturun. 12 veya 24 kelimelik seed ifadenin ötesinde güçlü bir passphrase seçin, her şeyi kağıda veya metale yazın ve Sparrow’un cüzdanı oluşturmasına izin verin. Cüzdan oluşturulduktan sonra elinizde tek bir seed ve bir ana genişletilmiş açık anahtar olur.

Şimdi soğuk cihazdan cüzdan dosyasını dışa aktarın. Sparrow’da File, ardından Export Wallet bölümüne gidin ve dosya formatını seçin. Bu dosya, script’lerinizin her biri için xpub, ypub veya zpub değerini, ayrıca türetme yollarını ve belirlediğiniz etiketleri içerir. Bu dosyayı bir USB sürücüye veya SD karta kaydedin. Seed ifadeyi hiçbir koşulda dışa aktarmayın. İş akışının bütün amacı yalnızca açık verileri dışa aktarmaktır.

USB veya SD kartı çevrimiçi cihazınıza taşıyın. Sparrow’u oraya da kurun, ancak yeni bir cüzdan oluşturmak yerine Import Wallet seçeneğini seçin ve dışa aktardığınız dosyayı gösterin. Sparrow adres ağacını yeniden oluşturur ve Bitcoin ağıyla senkronize olmaya başlar. Birkaç dakika sonra bakiyenizi, UTXO’larınızı ve işlem geçmişinizi görmeniz gerekir. Send düğmesi görünür olur ancak devre dışı kalır.

Bu noktadan itibaren çevrimiçi cihaz izleme terminalinizdir. Yeni alım adresleri oluşturabilir, gelen işlemlerin onaylanmasını izleyebilir ve harcama yapmak istediğinizde imzasız PSBTs oluşturabilirsiniz. Soğuk cihaz bir çekmecede kalır ve yalnızca imzalamanız gerektiğinde açılır.

Adresleri bir block explorer üzerinde doğrulama

Dikkatli yatırımcıları özensiz olanlardan ayıran alışkanlıklardan biri adres doğrulamadır. Yalnızca izleme cüzdanınızda her yeni alım adresi oluşturduğunuzda, adresin gerçekten cüzdanınıza ait olduğunu bir block explorer üzerinde doğrulamalısınız. Bu paranoyaklık değildir. Pano zararlı yazılımları, tarayıcı eklentileri ve adresleri sessizce değiştiren ele geçirilmiş cüzdan yazılımları dahil gerçek bir saldırı sınıfına karşı ucuz bir savunmadır.

Süreç basittir. Yalnızca izleme cüzdanınızda yeni bir alım adresi oluşturun, ardından mempool.space gibi bir block explorer ya da güvendiğiniz bir block explorer açın. Adresi arama çubuğuna yapıştırın ve beklenen işlem geçmişini gösterdiğini doğrulayın. Adres tamamen yeniyse ve geçmişi yoksa bu sorun değildir. Kontrol ettiğiniz şey, adresin gerçekten cüzdanınızın kontrol ettiğini iddia ettiği geçerli bir Bitcoin adresi olması ve bilgisayarınızdaki kötü niyetli bir süreç tarafından yapılan bir değiştirme olmamasıdır.

Ek titizlik için, ayrı bir cihazda seed ifadenizden ilk birkaç adresi türeterek bunların eşleştiğini çapraz kontrol edebilirsiniz. Bu, özellikle ilk kez yeni bir cüzdan kurarken önemlidir, çünkü kurulum anındaki herhangi bir ele geçirme daha sonra sizin için görünmez olacaktır.

Airgap imzalama iş akışının pratikte uygulanması

Harcama zamanı geldiğinde, anahtarlarınızı güvende tutan şey airgap iş akışıdır. Çevrimiçi cihazda başlayın ve işlemi Sparrow’da her zamanki gibi oluşturun. Harcamak istediğiniz UTXO’ları seçin, hedef adresi ve tutarı girin ve ücreti belirleyin. Sign and Broadcast’e tıklamak yerine Save PSBT to File veya Show as QR seçeneğine tıklayın.

PSBT’yi USB, SD kart veya QR kodu aracılığıyla soğuk cihaza aktarın. Soğuk cihazda Sparrow’u açın, soğuk cüzdanı yükleyin ve PSBT’yi içe aktarın. Sparrow, hedef adresi ve tutarı hiçbir zaman çevrimiçi olmamış bir cihazda doğrulayabilmeniz için işlem ayrıntılarını gösterir. Bu en önemli doğrulama adımıdır. Hedef adresi soğuk cihazda kontrol etmezseniz, çevrimiçi cihazın dürüst olduğuna güvenmiş olursunuz, oysa sistemin en başta güvenmek istemediğiniz parçası zaten budur.

Doğrulandıktan sonra Sign’a tıklayın. Sparrow imzalı bir PSBT üretir. Geldiği yolla tekrar çevrimiçi cihaza dışa aktarın ve yükleyin. Sparrow imzaları algılar, işlemi tamamlar ve ağa yayınlar. Soğuk cihaz internete hiç bağlanmamıştır. Özel anahtarlar onu hiç terk etmemiştir. Çevrimiçi cihaz onları hiç görmemiştir. Soğuk saklamanın tüm vaadi budur ve yalnızca izleme cüzdanları, her bakiye kontrolü gerektiğinde bir hardware wallet’ı ana akım bir bilgisayara takmak istemeyen kişiler için bunu operasyonel olarak mümkün kılar.

Kaçınılması gereken yaygın hatalar

İlk hata, bir xpub’ı zararsız sanmaktır. Zararsız değildir. İkincisi, seed’i yanlışlıkla soğuk cihazdan dışa aktarmaktır. Çoğu cüzdan yazılımı seed’in dışa aktarılmasını mümkün kılar ve bu ciddi bir tuzaktır. Bu düğmeyi devre dışı bırakın veya yok sayın. Üçüncüsü, aynı çevrim içi cüzdanı hem watch-only hem de harcama işleri için kullanmaktır. Çevrim içi cihazınız ele geçirilirse, gerçek fonlar içeren bir hot wallet’a da sahip olmasını istemezsiniz.

Dördüncüsü, adres doğrulamayı atlamaktır. Beşincisi, adresleri gereksiz yere yeniden kullanmaktır. Watch-only wallet ile bile her gelen işlem için yeni bir adres oluşturmak iyi bir uygulamadır ve gizliliği artırır. Altıncısı, yalnızca seed’i değil, wallet descriptor’ı da yedeklememektir. Cüzdanı yeni bir cihazda kurtarmanız gerekirse descriptor, adreslerin tam olarak nasıl türetildiğini yazılıma söyler. Onsuz, seed’e sahip olsanız bile cüzdanı yanlış şekilde yeniden oluşturabilirsiniz.

Son olarak, watch-only’nin risksiz olduğu varsayımına kapılmayın. Ele geçirilmiş bir çevrim içi cihaz sizi yine de yanıltabilir. Size sahte bir bakiye gösterebilir, sahte bir adres oluşturabilir veya bir saldırgana ödeme yapan bir işlem hazırlayabilir. Tek doğruluk kaynağınız soğuk cihazdır, airgap doğrulamasının önemli olmasının nedeni de budur.

Bitcoin cold storage’ı akıllıca nasıl izlersiniz?

Watch-only wallets, uzun vadeli yatırımcıların coin’leriyle etkileşim kurma şeklini değiştirir. Özel anahtarlara hiç dokunmadan kullanışlı bir cihazdan bakiyeleri kontrol etmenizi ve alım adresleri oluşturmanızı sağlar, ayrıca airgap imzalamayı günlük kullanım için pratik hale getirir. Ancak bu kurulum yalnızca extended public key’i hassas veri olarak ele alırsanız, adresleri bir block explorer üzerinde doğrularsanız ve her işlemde son kontrol için soğuk cihaza güvenirsiniz işe yarar.

Bitcoin haberleri ve on-chain sinyaller hızla değişir, bunları elle takip etmek kaybedilecek bir oyundur. Zippfeed, Bitcoin başlıklarını duygu puanlamasıyla (bullish, neutral veya bearish) ve önem derecesiyle öne çıkarır, böylece gürültüyü filtreleyip gerçekten tezinizi etkileyen konulara odaklanabilirsiniz.