Donanım Cüzdanı Nedir ve Kimlerin İhtiyacı Var

Donanım cüzdanı aslında nedir

Donanım cüzdanı, tek işi özel anahtarlar oluşturmak, bunları saklamak ve işlemleri imzalamak için kullanmak olan tek amaçlı bir cihazdır. BTC veya ETH göndermek istediğinizde, normal cüzdan yazılımınız işlemi oluşturur ve cihaza iletir. Cihaz, özel anahtarı kullanarak işlemi kendi içinde imzalar, ardından imzalanmış işlemi geri gönderir. Anahtarın kendisi donanımdan hiçbir zaman çıkmaz. Bütün mesele de budur.

Bu, telefonunuzdaki veya dizüstü bilgisayarınızdaki bir yazılım cüzdanından farklıdır. Yazılım cüzdanında özel anahtar, tarayıcınız, uygulamalarınız ve kurulu olan diğer her şeyle aynı bellekte bulunur. Bir telefonda kötü niyetli bir uygulama, pano ele geçirici veya uzaktan istismar, bazen bu anahtarı okuyabilir. Donanım cüzdanında ise tarayıcı yoktur, uygulama mağazası yoktur ve ana bilgisayarın anahtarı doğrudan okumasının bir yolu yoktur. Ana bilgisayar imzalanmış bir işlem görür, cihaz ise imzalanacak bir işlem görür.

Bunun karşılığında hız ve kullanım kolaylığından ödün verilir. Her işlem, cihazla fiziksel etkileşim gerektirir, genellikle bir veya iki düğmeye basmak gerekir. Ayda bir kez işlem yapan biri için bu sorun değildir. Yirmi farklı zincirde airdrop farming yapan biri için ise bu bir yüke dönüşür.

Donanım cüzdanının çözdüğü ve çözmediği riskler

Başlangıç rehberlerinin çoğunun atladığı kısım budur ve gerçekten bir donanım cüzdanına ihtiyacınız olup olmadığını belirleyen bölüm de burasıdır.

Donanım cüzdanının yardımcı olduğu tehditler. Bir saldırgan bilgisayarınızı zararlı yazılımla ele geçirirse, genellikle yapabileceği en kötü şey bir işlem oluşturup cihazınızdan bunu imzalamasını istemektir. Özel anahtarı çıkaramaz. Bu, geniş bir saldırı kategorisini etkisiz hale getirir: adresleri değiştiren pano değiştirme zararlı yazılımları, uzaktan erişim trojanları ve anahtarı bellekten çalmaya dayanan tarayıcı tabanlı cüzdan boşaltıcıların çoğu.

Donanım cüzdanının çözmediği tehditler. Birincisi phishing saldırılarıdır. Cihazınızı bağlamanız ve kötü niyetli bir işlemi onaylamanız için kandırılırsanız, cihaz bunu memnuniyetle imzalar, çünkü kendi açısından imza isteği meşru görünür. Uniswap veya OpenSea arayüzlerini taklit eden drainer kitleri tam olarak bu boşluktan yararlanır. İkincisi fiziksel zorlamadır. Biri sizi cihazın kilidini açmaya zorlarsa imza gerçekleşir. Passphrase yardımcı olabilir, ancak yalnızca baskı altında bunu açıklamazsanız. Üçüncüsü tedarik zinciri kurcalamasıdır. Yetkisiz bir bayiden alınan veya postada ele geçirilen bir cihaz, teoride ele geçirilmiş bir çiple gönderilmiş olabilir. Dördüncüsü seed phrase ile ilgili insan faktörüdür. 12 veya 24 kelimeyi bir bulut notunda, bir fotoğrafta ya da bir parola yöneticisinde saklarsanız cihazın önemi kalmaz. Seed cüzdanın kendisidir.

Yaygın bir yanılgı, donanım cüzdanının sizi dolandırıcılıklara karşı bağışık hale getirdiğidir. Getirmez. Saldırı yüzeyini bilgisayarınızdan kendi karar verme sürecinize taşır. Bu bazen savunma için daha iyi bir yerdir, bazen de değildir.

Bir donanım cüzdanı perde arkasında nasıl çalışır?

Her donanım cüzdanının merkezinde, genellikle standartlaştırılmış bir kelime listesinden üretilen 12 veya 24 kelimelik bir seed bulunur ve tüm özel anahtarlarınız bu seed'den türetilir. Seed cihazda oluşturulur, ekranda bir kez gösterilir ve ideal olarak kağıda yazılır ya da metale kazınır. O kağıt parçası artık cüzdanın içeriği kadar değerlidir. Onu kaybederseniz, bir yedeğiniz yoksa fonlarınız gider. Başka birine verirseniz fonların sahibi o olur.

Cihaz bir işlemi imzaladığında, bunu o seed'den türetilen bir özel anahtarı kullanarak yapar. Ana bilgisayar, cüzdan arayüzü ve blockchain özel anahtarı asla görmez. Yalnızca ortaya çıkan imzayı görürler. Bu imza, anahtarın sahibinin işlemi yetkilendirdiğini, anahtarın kendisini açığa çıkarmadan kanıtlar.

Güvenli öğe ve genel amaçlı mikrodenetleyici. Donanım cüzdanları arasındaki temel teknik ayrım budur. Güvenli öğe, kredi kartları ve pasaportlar gibi şeyler için tasarlanmış, kurcalamaya dayanıklı bir çiptir. Voltaj glitching, yan kanal analizi ve decapping gibi fiziksel saldırılara karşı yerleşik savunmalara sahiptir. Ledger, cihazlarının çoğunda güvenli öğe çipleri kullanır. Bu nedenle kurumsal ve yüksek değerli saklama tartışmalarında öne çıkma eğilimindedir. İlk Trezor cihazlarındaki gibi genel amaçlı bir mikrodenetleyici daha ucuz ve daha esnektir, ancak gelişmiş fiziksel saldırılara karşı daha savunmasızdır. BTC'de birkaç bin dolar tutan bir yeni başlayan için pratik fark küçüktür, çünkü kimse 70 dolarlık cihazınızı bir laboratuvarda decap etmeyecektir. Yedi haneli tutarlar tutan biri için ise daha önemlidir.

"Seed cihazdan asla çıkmaz" ifadesi aslında ne anlama gelir? Seed cihazda üretilir, cihazın güvenli belleğinde saklanır ve yalnızca cihazın içinde anahtar türetmek ve imza üretmek için kullanılır. Ana bilgisayar seed'i şifreli biçimde bile asla almaz. Bir cüzdanı geri yüklemek istiyorsanız seed kelimelerini yeni cihaza yeniden girersiniz. Bu noktada seed kısa süreliğine o yeni cihazın belleğinde var olur. Koruma mutlak değildir, ancak en yaygın uzaktan saldırılara karşı anlamlı bir bariyerdir.

Piyasadaki gerçekçi seçenekler

Güvenilir seçeneklerin sayısı çok fazla değildir ve bu sağlıklıdır. Başlıca oyuncular Ledger, Trezor, Keystone ve GridPlus'tır. Her birinin biraz farklı bir felsefesi vardır.

Ledger (Nano S Plus, Nano X, Stax) ticari olarak en görünür markadır ve güvenli öğe çipleri kullanır. Bunun ödünü, cihazın kapalı kaynaklı bir firmware çalıştırmasıdır. Bu da kodun teknik özelliklerle uyumlu olduğuna dair Ledger'a güvenmeniz anlamına gelir. Ledger'ın seed'inizi saklayıcılar arasında parçalara böldürmenizi sağlayan kurtarma hizmeti, gizlilik odaklı kullanıcılar arasında tartışmalı olmuştur.

Trezor (Model One, Model T), firmware'i kendisi doğrulamak isteyen kullanıcılar arasında popüler olan açık kaynaklı alternatiftir. Trezor, 2020'de laboratuvar koşullarında eski cihazlardan seed çıkaran ve geniş yankı uyandıran bir fiziksel saldırının kurbanı oldu. Bu olay şirketi daha yeni amiral gemisi modellerinde güvenli öğelere yöneltti. Trezor, BTC ve ETH'nin cold storage için genel olarak sağlam kabul edilir.

Keystone (eski adıyla Cobo Vault), yalnızca QR kodlarıyla iletişim kuran, bir ana bilgisayara USB veya Bluetooth bağlantısı olmayan air-gapped bir cihazdır. Herhangi bir kablolu saldırı yüzeyinden endişe eden kullanıcılar için bu caziptir. Geniş bir chain yelpazesini destekler ve daha yüksek riskli ortamlardaki kullanıcılar için sıkça önerilir.

GridPlus (Lattice1) daha pahalıdır ve daha çok aktif DeFi kullanıcılarına yöneliktir. Büyük bir dokunmatik ekranı vardır ve karmaşık işlem imzalamayı okunabilir hale getirmek için tasarlanmıştır. Bu, aşağıda ele alınan kör imzalama sorununa yardımcı olur.

Daha küçük markalar ve Amazon'da birçok benzer ürün de vardır. Dürüst tavsiye, doğrudan üreticiden satın almak, asla üçüncü taraf bir satıcıdan almamak ve orijinal olmayan ambalajla gönderilen her cihazı şüpheli kabul etmektir.

Kör imzalama sorunu ve neden önemli olduğu

Kör imzalama, cihazınızın içeriğini cihazın küçük ekranında gerçekten okuyamadığınız bir işlemi imzalamasıdır. Yaygın bir örnek, Ethereum üzerinde yeni bir smart contract ile etkileşime girmektir. Donanım cüzdanı bir veri blob'u ve "sınırsız USDC harcamasını onayla" diyen bir mesaj alır, ancak ekran size sözleşme mantığının tamamını göstermek için çok küçüktür. Cüzdan arayüzü size eylemin güvenli olduğunu söylediği için onayla düğmesine basarsınız.

Birçok yüksek değerli boşaltma olayı tam olarak böyle gerçekleşir. Kullanıcının bir donanım cüzdanı vardır, her şeyi doğru yapmıştır ve yine de kötü niyetli bir onay imzaladığı için fonlarını kaybeder. Savunma donanım cüzdanının kendisi değildir. Savunma, işlemi cihaz ekranında sade İngilizceye çözen cüzdanlar ve arayüzler kullanmaktır. GridPlus, Keystone veya clear-signing desteğine sahip daha yeni Ledger firmware buna örnektir. Aynı zamanda disiplin de gerekir: neyi imzaladığınızı anlayamıyorsanız imzalamayın.

Yalnızca BTC ve biraz ETH tutan bir yeni başlayan için bu çoğunlukla teorik bir kaygıdır. DeFi protokolleriyle etkileşime giren bir kullanıcı için ise tüm donanım cüzdanı hikayesindeki en büyük pratik risktir.

Bir donanım cüzdanı ne zaman gerçekten gereğinden fazladır?

İnternetteki refleks tavsiye "bir donanım cüzdanı satın al" şeklindedir. Bu tavsiye her zaman doğru değildir.

1.000 dolar altı varlıklar. Bir donanım cüzdanı 70 ila 200 dolar tutar. Buna 30 ila 100 dolar daha ekleyen metal seed plakası dahil değildir. Toplam crypto varlıklarınız birkaç yüz dolarsa portföyünüzün anlamlı bir yüzdesini güvenlik altyapısına harcıyorsunuz demektir. Temiz bir cihazda itibarlı bir yazılım cüzdanı, iyi operasyonel hijyenle birlikte küçük bakiyeler için makuldür.

Aktif DeFi kullanımı. Donanım cüzdanları ve aktif DeFi birbiriyle pek iyi çalışmaz. Onlarca sözleşmeyi onaylamak, her oturumda birden fazla işlem imzalamak ve protokoller arasında geçiş yapmak sürtünmeyi belirgin hale getirir. Daha da kötüsü, tam olarak anlamadığınız sözleşmeleri sürekli onaylıyorsanız marjinal güvenlik faydası azalır. Yoğun DeFi kullanıcıları için küçük bakiyeli özel bir hot wallet çoğu zaman daha iyi dengedir.

Airdrop farming ve testnet çalışmaları. Yepyeni protokollerle etkileşime giriyorsanız, testnet token'ları mint ediyorsanız veya airdrop peşindeyseniz, tasarım gereği yüksek riskli işlemler imzalıyorsunuzdur. Bir donanım cüzdanı sizi kötü niyetli bir airdrop sözleşmesinden korumaz ve onu onlarca yeni dapp'e bağlamak böyle birine denk gelme olasılığını artırır. Bu işler için uzun vadeli saklama cüzdanınızı değil, burner hot wallet kullanın.

Seed phrase'i güvenilir şekilde yedekleyemeyen herkes. Güvenli bir seed yedeği olmayan donanım cüzdanı tek bir hata noktasıdır. Kelimeleri yangına, sele ve kendi unutkanlığınıza dayanacak güvenli bir yerde saklayamıyorsanız bir tane satın almayın. Sonunda fonlarınıza erişimi kaybedersiniz.

Buna ihtiyacınız olup olmadığına nasıl karar verirsiniz

Basit bir çerçeve. Varlıklarınız, kaybetmeniz durumunda sizi ciddi şekilde zorlayacak bir tutarı aşıyorsa, çoğunlukla alım satım yapmak yerine elde tutuyorsanız ve bir seed phrase’i güvenli bir yerde saklayabiliyorsanız, bir hardware wallet maliyetine değer. Aktif olarak alım satım yapıyor, farming yapıyor veya küçük tutarlar tutuyorsanız, bir hardware wallet’ın operasyonel maliyeti muhtemelen güvenlik faydasını aşar.

Bir tane edinmeniz gerektiğini söyleyen bir kural yoktur. Birçok deneyimli kullanıcı küçük bakiyeleri saygın software wallet’larda, büyük bakiyeleri ise hardware üzerinde tutar ve bunu ikili bir seçimden ziyade kademeli bir sistem olarak görür. Amaç, maliyetten bağımsız olarak güvenliği en üst düzeye çıkarmak değil, güvenliği tehdide uygun hale getirmektir.

Pazarlama gürültüsü olmadan cüzdan güvenliğinde önde kalın

Cüzdan güvenliği yavaş ilerler, ancak exploit’ler, drainer kit’ler ve yeni cihaz firmware’i etrafındaki haberler öyle değildir. Zippfeed, cüzdan ve güvenlik başlıklarını sentiment scoring ile öne çıkarır. Böylece bir haberin bullish ürün haberi mi, neutral teknik raporlama mı yoksa yeni bir exploit hakkında bearish kapsam mı olduğunu görebilirsiniz. Ayrıca önem derecelendirmesi, gürültüyü elemenize yardımcı olur. hardware wallet ve cold storage konuları aynı akışta daha geniş BTC ve ETH kapsamıyla birlikte yer alır, böylece bağlam başlıkla birlikte gelir.