Sejf w domu czy w chmurze — gdzie trzymać kryptowaluty

Najczęstszy błąd to łączenie różnych poświadczeń w jeden identyfikator. Jeśli użyjesz tego samego klucza w kilku airdropach, łatwo połączyć Twoje konta i złamać pseudonimowość. RODO wymaga minimalizacji danych, więc projekt, który prosi o imię, nazwisko i adres, nawet jeśli nie robi KYC, może naruszać zasady. Wybieraj rozwiązania, które dają Ci pełną kontrolę nad tym, co i komu ujawniasz. Sprawdź, czy poświadczenie jest zapisane lokalnie i czy możesz je usunąć w dowolnym momencie.

Zaplanuj też, co się stanie, gdy ciebie zabraknie. Ktoś zaufany powinien wiedzieć, że portfel istnieje i gdzie szukać instrukcji, ale nie musi znać frazy od razu. Dobrym rozwiązaniem jest list z opisem procedury i miejscem przechowywania kopii, zamknięty u notariusza lub u prawnika. Bez tego środki zostaną na zawsze w portfelu, do którego nikt nie zna dostępu.

Geofencing to warstwa dodatkowa, a nie zamiennik dobrego podziału kluczy. Polega na tym, że dostęp do portfela lub do instrukcji jest uwarunkowany obecnością w określonym miejscu — np. dokumentacja leży w sejfie w jednym mieście, a sprzętowy podpis wymaga fizycznej wizyty w drugim. W łańcuchach EVM realizuje się to przez umowy z warunkami czasowymi i adresami uprawnionymi, ale pamiętaj: inteligentny kontrakt nie zna twojej śmierci. Wykonuje tylko warunki, które sam zapisałeś.

Pamiętaj o kopii zapasowej. Proof-of-personhood często opiera się na kluczach, które istnieją tylko na Twoim urządzeniu. Jeśli je zgubisz, stracisz dostęp do airdropu i nie odzyskasz go przez support. Zrób zaszyfrowany backup i trzymaj go offline. Nie zapisuj fraz w chmurze ani w notatniku na telefonie. Drugi typowy błąd to używanie tego samego adresu e-mail przy rejestracji i przy odbiorze. Nawet jeśli nie podajesz danych osobowych, powiązanie e-maila z portfelem może wystarczyć, by Cię zidentyfikować.

Trzeci test dotyczy adresów wielopodpisowych i kontraktów. W portfelu z wieloma sygnatariuszami kontrola nie należy do jednej osoby — transakcja wymaga zgody kilku kluczy. Sprawdź, ile podpisów jest wymaganych i kto je posiada. W kontraktach sprawdź, czy istnieją funkcje administracyjne, kto nimi zarządza i czy może wstrzymać transfery. Publiczny rejestr blockchaina pokazuje przepływy, ale nie pokazuje, kto siedzi za kluczem — dlatego kontrola to kwestia posiadania podpisu, a nie samego adresu.

Trzeci obszar to bezpieczeństwo i kontrola. Portfel firmowy powinien być oddzielony od portfeli prywatnych, z jasno określonymi zasadami dostępu. Najlepiej sprawdza się model multisig, w którym transakcję zatwierdza co najmniej dwóch pracowników. Historia transakcji w blockchainie jest jawna, co ułatwia audyt, ale też oznacza, że błędny adres lub nadmiarowy przelew są nieodwracalne. Przed każdą płatnością sprawdź adres odbiorcy co najmniej dwukrotnie, a najlepiej przetestuj niewielką kwotą.

Dead-man switch to mechanizm, który uruchamia przekazanie, gdy przez ustalony czas nie ma sygnału życia. W praktyce stosuje się dwa warianty: transakcję warunkową w smart kontrakcie albo serwis, który wymaga okresowego potwierdzenia. Najczęstszy błąd to zbyt krótki interwał — wystarczy choroba, urlop bez zasięgu albo awaria sprzętu i aktywa przechodzą na spadkobierców za wcześnie. Bezpieczniej ustawić okres liczony w miesiącach i mieć co najmniej dwa niezależne kanały potwierdzenia.

Kopia zapasowa, której nie zgubisz razem z domem Skoro kopia musi być poza domem, zrób co najmniej dwie i rozdziel je fizycznie. Jedna może zostać u zaufanej osoby, druga w skrytce bankowej albo w innym miejscu, do którego nie masz dostępu codziennie. Zapieczętuj kopertę i podpisz datę — będziesz wiedzieć, czy ktoś ją otwierał. Jeśli używasz zapisu cyfrowego, zaszyfruj plik osobnym hasłem, którego nie przechowujesz razem z plikiem. Hasło do zaszyfrowanej kopii zapamiętaj lub zapisz w innym miejscu niż sam plik.

Jak zacząć bez KYC i nie wpakować się w kłopoty Zanim cokolwiek podpiszesz, sprawdź, czy projekt rzeczywiście stosuje proof-of-personhood, czy tylko tak się reklamuje. Pierwszy krok to przeczytanie dokumentacji technicznej i sprawdzenie, czy operator poświadczeń jest niezależny. Drugi krok: wygeneruj osobny portfel przeznaczony wyłącznie do airdropów, nie używaj głównego, na którym trzymasz oszczędności. Trzeci krok: zapoznaj się z tym, jak działa mechanizm unieważniania poświadczeń. Jeśli projekt potrafi cofnąć Twoje poświadczenie bez Twojej zgody, to nie jest to prawdziwy proof-of-personhood, tylko zwykła lista mailingowa w przebraniu.

Sprawdź, czy naprawdę masz kontrolę, a nie tylko dostęp przez pośrednika Pierwszy test jest prosty: czy potrafisz samodzielnie odtworzyć dostęp do środków bez logowania się do jakiejkolwiek zewnętrznej usługi? Weź seed lub klucz prywatny i odtwórz portfel w innym, niezależnym narzędziu. Jeśli po odtworzeniu widzisz te same adresy i saldo, kontrola jest po twojej stronie. Jeśli nie widzisz — prawdopodobnie korzystasz z portfela powierniczego, w którym usługa trzyma klucze za ciebie. To nie jest oszustwo samo w sobie, ale wtedy kontrolę ma operator tej usługi.