Korisnici kriptovaluta često pretpostavljaju da se gubici događaju zato što je blockchain tehnologija nesigurna ili "pokvarena". U stvarnosti, većina gubitaka događa se puno ranije u lancu: ponovno korištena lozinka, uspješna phishing stranica, slab način oporavka ili seed fraza pohranjena na pogrešnom mjestu. To su pogreške koje se mogu izbjeći, ali samo ako jasno odvojite koju vrstu tajne štitite i što se događa ako ona bude kompromitirana.
Na toj razlici mnogi padaju. Lozinka i seed fraza su obje "pristupni podaci", ali ne nose isti rizik. Ako vam netko ukrade lozinku za burzu, još se možete nadati povratu računa uz jaku dvostruku autentikaciju i korisničku podršku. Ako netko ukrade vaš wallet seed ili privatni ključ, napadač obično može odmah premjestiti sredstva – i transakcije su nepovratne.
Ključna razlika: Pristup računu vs kontrola nad imovinom
Za sigurnost u svijetu kriptovaluta korisno je razmišljati u dva sloja.
Prvi sloj je pristup računima. Tu spada prijava na burzu, e-mail račun te svaka usluga kod koje je važna identitet i sigurnost sesije. Dobre navike s lozinkama i jaka autentikacija ovdje značajno smanjuju rizik.
Drugi sloj je kontrola nad imovinom. Tu žive seed fraze i privatni ključevi. Tko kontrolira to, kontrolira sredstva. Za većinu self-custody scenarija, nema korisničke podrške, povrata transakcija niti resetiranja lozinke.
Kada korisnici oba sloja tretiraju isto, stvaraju skrivene pojedinačne točke pada. Na primjer, ako netko stavi lozinke za burzu, fotografije seed fraza, e-mailove za oporavak i 2FA backup materijal u slabo zaštićene aplikacije – praktički sve vodi prema potpunom kompromitiranju.
Najveće pogreške koje korisnici kriptovaluta stalno ponavljaju
Većina incidenata prati isti obrazac. Alati se mijenjaju, pogreške u rukovanju ostaju iste:
- Ponovno korištenje istih podataka za prijavu na burzi, primarnom emailu i financijskim servisima – jedna kompromitirana lozinka vodi do preuzimanja svih računa.
- Pohrana seed fraza u screenshotovima, na cloud diskovima, chat porukama ili aplikacijama za bilješke koje se sinkroniziraju na više uređaja.
- Unos pristupnih podataka na lažne domene i lažnim wallet promtovima u trenucima stresa ili žurbe.
- Oslanjanje na slabe kanale oporavka, npr. samo SMS 2FA, dijeljeni inbox ili zastarjele neadministrirane uređaje.
- Preskakanje probe oporavka, što znači da propusti postaju očiti tek nakon incidenta, kad je svaka minuta važna.
Ako pažljivije pogledate, ovo su procesni, a ne tehnički promašaji. Napadači ne moraju probiti suvremenu kriptografiju ako mogu iskoristiti zbrku, žurbu i želju za udobnošću.
Što pohraniti u password manager, a što tretirati drugačije
Password manager je odličan za snažne, nasumične podatke koje je teško zapamtiti, a lako ih je mijenjati: prijave na burze, API ključeve, backup kodove i operativne bilješke za procese oporavka. Za timove, to je i najsigurniji način dijeljenja pristupa bez slanja lozinki preko chata ili e-maila.
Seed fraze i privatni ključevi zahtijevaju stroži model. Za dugotrajno čuvanje, offline pristup je uglavnom najsigurnija opcija, u kombinaciji s dokumentiranim procesom oporavka i jasnim pravilima vlasništva. Neki korisnici ipak odluče digitalno skladištiti osjetljive podatke radi praktičnosti, ali to mora biti svjesna odluka uz dobre kontrole – nikako navika.
U praksi je najbolja višeslojna postavka. Dnevne podatke za prijavu čuvajte u password manageru uz jaku MFA zaštitu. Vrijedne tajne za oporavak štitite većom izolacijom. Pobrinite se da dokumentacija za oporavak bude jasna, kako bi je pouzdane osobe mogle primijeniti čak i u stresu.
Zašto phishing tako dobro funkcionira u kriptu
Phishing napadi u kripto svijetu uspješni su jer spajaju brzinu, osjećaj hitnosti i nepovratne posljedice. Napadači znaju da su korisnici uvježbani na brzo djelovanje kad se tržište mijenja. Imitiraju obavijesti s burze, upozorenja za nadogradnju walleta ili zahtjeve za "sigurnosnu provjeru", i navode korisnike da upišu podatke ili odobre zlonamjerne transakcije.
Korisno obrambeno pravilo glasi: svaku hitnost smatrati sigurnosnim rizikom, a ne razlogom za ubrzano djelovanje. Ako vas netko tjera da "odmah reagirate" zbog prijetnje blokadom, gubitkom ili suspenzijom, zastanite i provjerite kroz poznate kanale. Legitiman tim za sigurnost nikad vam neće tražiti seed frazu, niti ijedan pravi proces traži unos te fraze na slučajne web stranice ili u chatu za podršku.
Ovdje password manageri imaju još jednu praktičnu vrijednost. Njihova autofill funkcionalnost može poslužiti kao rana uzbuna: ako spremljena lozinka ne "prepozna" domenu, ta neusklađenost je prednost, a ne greška.
Oporavak je sigurnosna značajka, a ne naknadna briga
Mnogi jako investiraju u prevenciju, a gotovo nimalo u planiranje oporavka. To je pogrešno. Prevencija prije ili kasnije zakaže, pa kvaliteta oporavka često određuje hoće li incident biti manja smetnja ili potpuni gubitak.
Plan oporavka trebao bi unaprijed odgovoriti na konkretna pitanja: Koje podatke rotiramo prve? Tko smije pokrenuti hitne izmjene? Kojim uređajima se vjeruje za ponovno postavljanje? Gdje su spremljeni backup kodovi? Tko provjerava je li vraćeni račun siguran?
Bez ovih odgovora, timovi improviziraju baš kad je to najgore. Tada se događaju sekundarne pogreške: rotira se pogrešan račun, zaboravljaju se na API ključeve ili se oporavak radi na kompromitiranom uređaju.
Ako želite praktičan standard: svaki kritičan račun treba imati vlasnika, backup vlasnika i isprobani put oporavka. U poslovanju, to treba biti dio onboardinga/offboardinga, a ne dio "nepisane kulture".
15 minuta za povećanu sigurnost – koje možete napraviti odmah
Za trenutačna poboljšanja ne treba vam cijeli sigurnosni sustav. Dovoljan je kratki sigurnosni "hardening" prolaz:
- Promijenite lozinke za burze i primarni e-mail tako da koriste jedinstvene, snažne vrijednosti generirane kroz password manager.
- Zamijenite SMS 2FA jačom opcijom, poput TOTP ili hardverskih metoda kad su dostupne.
- Izbrišite screenshotove sa seed frazama i kopije bilješki iz cloud aplikacija i nesigurnih uređaja.
- Pregledajte i pooštrite dozvole za dijeljene "team vaultove", te uklonite pristup onima koji ga više ne trebaju.
- Provjerite backup kodove i korake oporavka za najvažnije račune – uključujući tko ih može izvesti.
- Napravite minimalni runbook za incidente, s opisom izoliranja štete, redoslijeda rotacije podataka i koracima za reviziju nakon incidenta.
Ovi koraci ne jamče savršenu sigurnost, ali značajno smanjuju najčešće vektore napada.
Završna misao
Najveća kripto-sigurnosna pogreška nije "korištenje pogrešne aplikacije". To je propuštanje razlikovanja pristupnih podataka koje je zgodno dijeliti, od onih koji daju punu kontrolu. Lozinke trebaju biti jednostavne za izradu, spremanje, izmjenu i sigurno dijeljenje pomoću password managera. Seed fraze i privatni ključevi treba čuvati uz mnogo veću izolaciju i s jasnim, unaprijed planiranim procesom oporavka.
Ako vodite tim, to je još važnije. Individualni propusti brzo postaju rizik za cijelu organizaciju. Jasna politika klasifikacije tajni, kontroliran pristup i testirani procesi oporavka spriječit će više gubitaka nego bilo kakvo gašenje požara nakon štete.
Za slične savjete, pročitajte naše objave o zašto je SMS 2FA nesiguran, obrani od credential stuffing napada, i modernim napadima društvenim inženjeringom.
