Kriptoda Kurtarma İfadesi ve Özel Anahtar: Neleri Korumanız Gerekir?

Bir kripto cüzdanı size kurtarma ifadesi gösterebilir, özel anahtarınızı dışa aktarma seçeneği sunabilir ve işlemleri onaylamanızı isteyebilir. Bunlar birbiriyle ilişkili özellikler olsa da taşıdıkları riskler aynı değildir.

Kurtarma ifadesi ile özel anahtar arasındaki farkın pratikteki karşılığı şudur: Her ikisini de fonlarınız üzerinde kontrol sağlayabilecek gizli bilgiler olarak korumalısınız. Birçok cüzdanda kurtarma ifadesi çok sayıda özel anahtarı yeniden oluşturabildiğinden, bu ifadenin ele geçirilmesi özellikle ciddi bir durumdur. İkisini de destek görevlileriyle paylaşmayın, bir airdrop sitesine girmeyin veya cüzdanınızı doğrulayacağını söyleyen birine göndermeyin.

Bu rehber, anahtarların kontrolünün kullanıcıda olduğu cüzdanlara odaklanır. Saklama hizmeti sunan bir borsadaki hesapta ise anahtarları genellikle hizmet sağlayıcı yönetir. Bu nedenle koruma öncelikleriniz arasında hesap giriş bilgileriniz, güçlü kimlik doğrulama ve para çekme kontrolleri de yer alır.

Kurtarma İfadeleri ve Özel Anahtarlar Arasındaki Bağlantı

Özel anahtar, kripto para transferi gibi işlemleri yetkilendirmek için kullanılan gizli bir kriptografik değerdir. Cüzdan yazılımı bu anahtarla dijital imzalar oluşturur. Normal bir işlemde anahtarın alıcıya veya ağa açıklanması gerekmez.

İngilizcede seed phrase, recovery phrase veya mnemonic phrase olarak adlandırılan kurtarma ifadesi, birçok cüzdanın kullandığı, insanların okuyabileceği bir yedektir. Genellikle belirli bir sırayla dizilmiş 12 veya 24 kelimeden oluşur. Tipik bir BIP-39 kurulumunda cüzdan, bu ifadeyi isteğe bağlı bir ek parolayla birleştirerek bir tohum değer üretir ve ardından bu değerden hiyerarşik bir yapıda özel anahtarlar türetir.

Bu hiyerarşik deterministik cüzdan yapısı sayesinde tek bir yedek, desteklenen ağlardaki birden fazla hesabı ve varlığı geri getirebilir.

Ancak her cüzdan bu modeli izlemez. Bazıları farklı kurtarma standartları, çoklu imza düzenleri veya dağıtık imzalama sistemleri kullanır. Her ürünün aynı şekilde çalıştığını varsaymak yerine, kullandığınız cüzdanın kurtarma belgelerini izleyin.

Adresler ve Açık Anahtarlar Ne İşe Yarar?

Cüzdan adresi, insanların size fon gönderebilmesi için genellikle paylaşılmak üzere tasarlanır. Açık anahtar da fon harcama yetkisi veren gizli bir bilgi değildir; ancak açık anahtar ve adres biçimleri ağdan ağa değişir.

Yine de bir adresi paylaşmak finansal hareketlerinizi açığa çıkarabilir. Bu, gizlilikle ilgili bir karardır; kurtarma ifadesini veya özel anahtarı ifşa etmekle aynı türden bir güvenlik olayı değildir.

Bir Bakışta Kurtarma İfadesi ve Özel Anahtar

Üç türetilmiş hesabın yanı sıra özel anahtar içe aktarılarak eklenmiş bir hesabı daha bulunan bir cüzdan düşünün. Bu cüzdanın kurtarma ifadesi, türetilmiş üç hesabı geri getirebilir ancak içe aktarılan hesabı geri getirmeyebilir. Cüzdan açıkça başka bir kurtarma mekanizması sunmuyorsa, içe aktarılan bu hesabın ayrı bir yedeği olmalıdır.

Kurtarma işlemi uyumluluğa da bağlıdır. Yeni cüzdan farklı bir türetme yolu, hesap indeksi, ağ veya adres türü kullanıyorsa doğru ifade girilse bile tüm varlıklar hemen görünmeyebilir. Geri yüklemeden sonra bakiyenin sıfır görünmesi, fonların kaybolduğu anlamına gelmez.

Özel anahtarın ele geçirilmesi de mutlaka küçük bir risk değildir. Aynı anahtar, birden fazla uyumlu ağda bir adresi kontrol edebilir; bu adreste değerli tokenlar, NFT'ler veya yönetici yetkileri bulunabilir.

Cüzdanınızın Gizli Bilgilerini Güvenle Saklama

Amaç, kendi kurtarma olanağınızı ortadan kaldırmadan yetkisiz erişimi önlemektir. Güçlü bir koruma planı; hırsızlığı, cihaz arızasını, yangını, yedeğin yanlışlıkla atılmasını ve miras yoluyla devri hesaba katmalıdır.

Kurtarma Yedeklerini Günlük Kullanılan Cihazlardan Uzak Tutun

Çoğu bireysel kullanıcı için çevrimdışı bir yedek, makul bir başlangıçtır. İfadeyi doğru biçimde yazın, kelime sırasını koruyun ve fiziksel erişimin kontrol altında olduğu bir yerde saklayın. Dayanıklı bir metal yedek, yangına ve suya karşı direnci artırabilir ancak hırsızlığı önlemez.

İfadeyi şifrelenmemiş olarak ekran görüntülerinde, e-posta taslaklarında, mesajlaşma uygulamalarında, bulut belgelerinde veya telefonun not uygulamasında saklamaktan kaçının. Bunlar ek kopyalar oluşturur; hesapların ele geçirilmesi, senkronizasyon ve kötü amaçlı yazılımlar nedeniyle açığa çıkma riskini artırır.

Donanım cüzdanı, işlemleri özel bir cihazın içinde imzalayarak özel anahtarın açığa çıkma riskini azaltabilir. Ancak birisi kurtarma ifadenizi ele geçirirse fonlarınızı koruyamaz. Kötü niyetli bir işlem de sırf cihaz üzerinde onayladığınız için güvenli hâle gelmez.

Uygulama Şifresi ile Ek Parolanın Farkını Bilin

Uygulama şifresi veya PIN, genellikle cüzdana cihaz üzerindeki erişimi korur. Kurtarma ifadesini bilen birinin cüzdanı başka bir yerde geri yüklemesini çoğunlukla engellemez.

İsteğe bağlı BIP-39 ek parolası ise farklıdır: Kurtarma ifadesinden türetilen cüzdanı değiştirir. O cüzdanı geri getirmek için ek parolanın birebir aynısı gerekir. Bir yazım hatası, yol gösterici bir “yanlış parola” uyarısı vermek yerine farklı bir cüzdan oluşturur.

Bu özellik korumayı güçlendirebilir ancak hata yapılabilecek yeni bir nokta da yaratır. Net bir yedekleme ve kurtarma planınız olmadan etkinleştirmeyin. Ek parola, kurtarma kelimeleri listesinden seçilmesi gereken ilave bir kelimeden ibaret değildir.

Kurtarma Planınızı Doğrulayın

Bir yedeğe güvenmeden önce şu kontrol listesini kullanın:

• Cüzdanınızın hangi kurtarma standardını kullandığını doğrulayın.
• Kaydettiğiniz kelimeleri ve sıralarını, cüzdanın güvenilir yedek doğrulama süreciyle kontrol edin.
• Ayrıca içe aktarılmış hesapları ve gereken ek parolaları kayıt altına alın.
• Yedekleri hem yetkisiz erişime hem de çevresel hasara karşı koruyun.
• Güvendiğiniz mirasçıların gizli bilgileri herkese açık hâle getirmeden güvenli bir kurtarma sürecini izleyebildiğinden emin olun.
• Yalnızca denemek için değerli varlıklar içeren bir cüzdanın kurtarma ifadesini internete bağlı bir cihaza girmeyin.

Bazı cihazlar, yedekleri doğrudan cihaz üzerinde kontrol etme olanağı sunar. Kurtarma ifadesini gereksiz yere açığa çıkarmayan, belgelenmiş doğrulama yöntemlerini tercih edin. Bilmediğiniz kurtarma işlemlerini önce düşük bakiyeli, ayrı bir cüzdanla deneyin.

Fonlarınızı Riske Atan Talepleri Tanıyın

Size fon göndermek isteyen meşru bir kişinin kurtarma ifadenize değil, adresinize ihtiyacı vardır. Olağan merkeziyetsiz uygulama bağlantıları ve token takasları sırasında, hizmetin web sitesine kurtarma ifadenizi yazmanız veya özel anahtarınızı aktarmanız istenmemelidir.

Yaygın dolandırıcılıklarda bu talep “cüzdan senkronizasyonu”, “taşıma”, “doğrulama” veya “para çekme kilidini açma” olarak sunulur. Kullanılan sözler değişir ama tehlikeli eylem aynıdır.

Kurtarma ifadesini yalnızca doğrulanmış bir kurtarma süreciyle, bilinçli olarak cüzdanınızı geri yüklerken girin. Donanım cüzdanı kullanıyorsanız üreticinin talimatlarını dikkatle izleyin. Bir web sitesinin cihazınıza ait kurtarma ifadesini yazmanızı istemesi ciddi bir uyarı işaretidir.

Kurtarma ifadesinin çalınması ile kötü niyetli bir işlemin onaylanmasını da birbirinden ayırın. Bir dolandırıcı, ifadenizi hiç öğrenmeden token harcama izni veya yanıltıcı bir imza aracılığıyla varlıklarınızı boşaltabilir. Sizden istenen işlemi okuyun, hedef adresi doğrulayın ve varsa donanım cüzdanının güvenilir ekranındaki bilgileri inceleyin.

Uzun vadeli varlıklarınızı uygulamalarla nadiren etkileşime giren bir cüzdanda tutmak, denemeler içinse düşük bakiyeli farklı bir cüzdan kullanmak yararlı bir ayrımdır. Aynı kurtarma ifadesine bağlı ayrı hesaplar, ifadenin ele geçirilmesine karşı birbirinden yalıtılmış değildir.

Gizli Bilgileriniz Açığa Çıkarsa Ne Yapmalısınız?

Kurtarma ifadenizi veya özel anahtarınızı şüpheli bir hizmete girdiyseniz, başka birine gönderdiyseniz ya da zararlı yazılım bulaştığı bilinen bir cihazda sakladıysanız bunları ele geçirilmiş kabul edin. Yetkisiz bir işlem gerçekleşmesini beklemek güvenilir bir kontrol yöntemi değildir.

Kurtarma İfadeniz Açığa Çıktıysa

1. Güvenilir, temiz bir cihaz veya donanım cüzdanı kullanarak yeni bir kurtarma ifadesine sahip yeni bir cüzdan oluşturun.
2. Yüksek tutarlı varlıkları aktarmadan önce yeni yedeği güvene alın ve doğrulayın.
3. İlgili ağlardaki etkilenen hesaplarda kalan varlıkları, tokenlar ve NFT'ler dâhil olmak üzere taşıyın.
4. Ele geçirilen adreslerin sahiplik rollerini veya yönetici yetkilerini gözden geçirin ve mümkün olanları devredin.
5. Ele geçirilen cüzdanı yeni fon girişleri için kullanmayı bırakın ve kayıtlı alıcı adreslerini güncelleyin.

Eski cüzdanın uygulama şifresini değiştirmek, çalınan kurtarma ifadesini geçersiz kılmaz. Aynı ifadeye bağlı başka bir hesap oluşturmak da sorunu çözmez.

Tek Bir Özel Anahtarınız Açığa Çıktıysa

Bu anahtarın kontrol ettiği varlıkları, güvenli biçimde yeni oluşturulmuş bir cüzdana taşıyın. Anahtar farklı ağlarda da kullanıldıysa ilgili ağların her birini kontrol edin. Sızıntının nasıl gerçekleştiğini araştırın: Kötü amaçlı yazılım veya çalınan bir yedek, olayın birden fazla anahtarı etkilediği anlamına gelebilir.

Yalnızca kötü niyetli bir token harcama izni verildiyse ve anahtarlar gizli kaldıysa bu izni iptal etmek, söz konusu yetkiyle ilgili sorunu çözebilir. Ancak saldırgan imzalama anahtarına zaten sahipse harcama iznini iptal etmek onun kontrolünü ortadan kaldıramaz.

Saldırganlar bazen ağ ücretlerini ödemek için yatırılan fonları çalmak amacıyla otomatik süpürme yazılımları kullanır. İşlemlerinizden önce davranılıyor veya yatırdığınız fonlar otomatik olarak çekiliyorsa deneme yanılma yoluyla ilerlemeyi bırakın ve ilgili blokzincirde uzmanlaşmış, güvenilir bir olay müdahale desteği arayın. Fonlarınızı geri getirme sözü veren bir kurtarma hizmetine asla kurtarma ifadenizi vermeyin.

Temel kural açıktır: Kurtarma ifadesini cüzdanın daha geniş anahtar yapısının yedeği olarak, her özel anahtarı da doğrudan imzalama yetkisi olarak koruyun. İkisinin de bir destek görüşmesinde veya sıradan bir web formunda yeri yoktur.

Cüzdan bağlantısı kullanan bir ürün geliştiriyorsanız Global Web Page; anlaşılır bağlantı akışları, daha güvenli arayüzler ve müşterilerden cüzdanlarının gizli bilgilerini istemeyen kullanıcı eğitimleri tasarlamanıza yardımcı olabilir. Projenizi görüşmek için Global Web Page müşteri panelini kullanın.