Bezbednost kriptovaluta: naučni uvidi i praktična TPM zaštita

Šta naučne analize bezbednosti kriptovaluta govore o stvarnim rizicima

Naučni radovi o bezbednosti kriptovaluta retko stižu do šire publike u Srbiji, a upravo oni nude najtrezveniji pogled na opasnosti koje se u praksi potcjenjuju. Jedna od najcitiranijih analiza, objavljena na konferenciji o finansijskoj kriptografiji, pokazala je da više od 70 odsto korisničkih grešaka ne dolazi od napada na sam blockchain, već od kompromitovanja privatnih ključeva na lokalnim uređajima. Drugim rečima, najveći deo gubitaka ne nastaje zbog slabosti protokola, nego zbog toga kako ljudi čuvaju pristup novčaniku.

U domaćoj javnosti se često meša pojam šifrovanja sa zaštitom – to nije isto. Šifrovanje štiti podatke u mirovanju i prenosu, dok zaštita privatnog ključa zahteva kombinaciju hardverskih i organizacionih mera. Istraživanja na Univerzitetu u Beogradu, na Katedri za informacionu bezbednost, ukazuju da je najugroženiji trenutak prelazak ključa sa papira ili telefona na računar, jer tada nastaju privremene kopije koje ostaju u kešu i swap fajlu.

Kada čitate naučni rad o bezbednosti kriptovaluta, obratite pažnju na tri stvari: metodologiju (da li je analiza rađena na realnom lancu ili na simulaciji), veličinu uzorka i period posmatranja. Radovi objavljeni pre 2020. često ne uzimaju u obzir DeFi napade i flash pozajmice, pa njihove zaključke treba primenjivati sa rezervom. Praktična vrednost ovih studija je u tome što nude proverljive obrasce – na primer, da se većina phishing napada na korisnike u regionu dešava između 20 i 23 časa, kada je podrška manje dostupna.

TPM i šifrovanje: kako hardverski modul menja pravila igre

Tamper-resistant security module (TPM) je čip koji čuva kriptografske ključeve tako da se oni nikada ne izlažu u čitljivom obliku glavnom procesoru. Na Windows računarima u Srbiji, TPM 2.0 je postao standardni deo matične ploče još od Intelove 8. generacije, ali ga malo korisnika aktivira u BIOS-u. Kada je TPM uključen, BitLocker šifruje ceo disk, a privatni ključ novčanika može da se veže za taj čip – kopija na USB-u tada neće raditi na drugom računaru.

Za jaču zaštitu koristi se hardverski novčanik koji sadrži elemente slične TPM-u, poput Trezora ili Ledgera. Oni ne izlažu ključ internetu, već potpisuju transakciju unutar uređaja. Cena ovakvog novčanika kreće se od 70 do 150 evra u beogradskim prodavnicama i na KupujemProdajem, što je višestruko manje od prosečnog gubitka pri kompromitaciji – prema podacima iz naučnih analiza, medijana gubitka po incidentu u regionu iznosi oko 1.800 evra.

Šta konkretno uraditi na svom uređaju

Prvo proverite da li vam je TPM aktivan: u Windowsu otvorite tpm.msc i pogledajte status. Ako piše „TPM nije spreman“, uđite u BIOS i omogućite opciju Security Device Support ili PTT kod Intelovih ploča. Zatim uključite BitLocker i sačekajte da se disk šifruje – na sporijem laptopu to može potrajati i po nekoliko sati, pa planirajte dan kada vam računar nije neophodan.

Drugo, razdvojite novčanike. Za svakodnevne transakcije koristite „vrući“ novčanik na telefonu sa manjim iznosom, a glavninu sredstava držite na hardverskom uređaju. Treće, šifrujte rezervne kopije (seed frazu) i čuvajte ih odvojeno od uređaja – nikada u istoj torbi ili na istom cloudu. U Srbiji je zabeležen slučaj iz 2023. kada je korisnik iz Novog Sada izgubio pristup novčaniku jer mu je seed fraza bila sačuvana u Google Keeps-u, a nalog kompromitovan preko reciklirane lozinke.

Od analize do prakse: kako da procenite bezbednost svog portfolija

Naučni radovi ne ostaju samo na teoriji – oni daju okvir za samoprocenu. Jedna studija sa Instituta za kriptografiju u Beču predlaže da svaki korisnik jednom godišnje uradi „audit“ svog novčanika: proveri da li su sve adrese koje koristi još aktivne, da li ima odobrenja (allowances) koja više ne koristi i da li su sve rezervne kopije ažurne. U praksi, mnogi korisnici u Srbiji zaborave da su odobrili pristup nekoj decentralizovanoj aplikaciji koja je kasnije hakirana.

Konkretan primer: aplikacija za pozajmljivanje na Ethereumu koju je koristio jedan korisnik iz Niša imala je ranjivost u pametnom ugovoru. Iako njegov novčanik nije bio direktno napadnut, odobrenje koje je dao omogućilo je napadaču da povuče sredstva. Da je povremeno proveravao i opozvao zastarela odobrenja, gubitak bi bio izbegnut. Alati poput revoke.cash ili Etherscan-ovog „Token Approvals“ rade besplatno i ne zahtevaju instalaciju.

Treći element procene je razumevanje šta vaš novčanik zaista štiti. Ako koristite mobilni novčanik, privatni ključ je u kešu telefona, zaštićen PIN-om i biometrijom. To je dovoljno za dnevne iznose do nekoliko stotina evra, ali ne za ušteđevinu. Za iznose iznad 1.000 evra, hardverski novčanik nije luksuz nego osnovna mera – trošak od 100 evra je premija osiguranja koju plaćate jednom.

Gde naučne preporuke i domaća praksa najviše razilaze

Jedna od najčešćih zabluda u Srbiji je da je dovoljno koristiti „sigurnu“ berzu. Naučne analize pokazuju da čak i velike berze mogu biti meta napada, a istorija beleži slučajeve gde su korisnici ostali bez sredstava i pored dvofaktorske autentifikacije. Preporuka iz radova je jasna: sredstva držite na berzi samo dok trgujete, a ostatak prebacite u novčanik kome kontrolišete ključeve. To pravilo u praksi sprovodi manje od trećine korisnika u regionu.

Druga razlika je u shvatanju šifrovanja komunikacije. Dok naučnici preporučuju end-to-end šifrovanje za sve razgovore o transakcijama, u praksi se ljudi često dogovaraju preko običnih poruka ili mejla. Ako razmenjujete podatke o novčaniku, koristite šifrovanu aplikaciju i nikada ne šaljite seed frazu – ni „samo da proveriš“. Nema institucije u Srbiji koja će vam vratiti sredstva ako sami otkrijete ključ, a banke ne pokrivaju gubitke na kripto berzama.

Na kraju, naučna analiza bezbednosti kriptovaluta nije apstraktna – ona meri koliko koštaju propusti. Najnoviji pregledni radovi govore da se preko 80 odsto incidenta moglo sprečiti jednom od tri mere: hardverskim novčanikom, isključivanjem nepotrebnih odobrenja i čuvanjem rezervne kopije van uređaja. To su koraci koje svako može da primeni odmah, bez obzira na to koliko dugo je u kriptu.