Wallety – hot vs cold, multisig, bezpieczeństwo operacyjne

Wstęp

W krypto nie ma działu reklamacji. Jeśli podpiszesz złośliwą transakcję, wyślesz środki na zły łańcuch lub udostępnisz seed, transakcja jest nieodwracalna. Większość strat nie wynika z “hakerów z Hollywood”, lecz z podstawowych błędów operacyjnych: phishing, nieograniczone approvale, jeden portfel na wszystko.

Ta lekcja to standard operacyjny bezpieczeństwa (OPSEC) dla tradera DeFi. Nauczysz się rozróżniać portfele, projektować architekturę 3 portfeli, używać multisig i sprawdzać transakcje zanim je podpiszesz. To nie paranoja – to procedura jak stop loss.

Taksonomia portfeli

Zasada: hot do interakcji, cold do przechowywania. Nigdy odwrotnie.

Architektura 3 portfeli – standard KursTradera

Nie trzymaj wszystkiego w jednym MetaMasku, którym farmisz airdropy.

Portfel A – Vault (cold, hardware):

• 70-80% kapitału długoterminowego.
• Zero interakcji z nowymi Dappami. Tylko staking przez oficjalny interfejs + wysyłka na Portfel B.
• Seed stalowy, nigdy nie wpisywany cyfrowo. 2 kopie w różnych lokalizacjach.
• Połączony tylko przez Rabby/MetaMask jako watch-only do podpisu.

Portfel B – Operating (hot, Rabby – główny):

• 15-25% kapitału na Dappi o ugruntowanej reputacji (Uniswap, Aave, Lido).
• Limit approvali – dajesz approval tylko na kwotę transakcji, nie unlimited.
• Oddzielny dla każdej dużej narracji (np. jeden na ETH mainnet, drugi na L2) jeśli chcesz ograniczyć blast radius.

Portfel C – Burner / Airdrop (hot, nowy seed co kwartał):

• 1-5% kapitału, na testy, minty, nowe łańcuchy.
• Zakładasz, że zostanie zdrenowany. Regularnie migrujesz środki do B.
• Nigdy nie wysyłaj z Vault bezpośrednio do Burner – zawsze przez B lub nowy adres pośredni.

Przepływ:
Vault (cold) -> B (operating, zweryfikowane Dapp) -> C (burner)
Nigdy: C -> Vault (zanieczyszczasz anonimowość i bezpieczeństwo)

Seed, private key, passphrase – co naprawdę chronisz

• Seed (12/24 słowa): Master klucz. Kto go ma, ma wszystko na wszystkich łańcuchach.
• Private key: Pochodna seeda dla konkretnego adresu. Ujawnienie jednego klucza = utrata tego adresu, ale seed nadal kompromituje resztę.
• Passphrase (25 słowo, BIP39): Dodatkowe słowo, które tworzy ukryty portfel. Działa jako 2FA. Jeśli zgubisz passphrase, nawet z seedem nie odzyskasz środków. Jeśli ktoś ukradnie seed bez passphrase, nie odzyska ukrytego portfela.

Procedura:

1. Generuj seed offline na hardware wallet, nie na stronie internetowej.
2. Zapisz ręcznie, 2 kopie na blachach (Cryptosteel/Titanium). Nigdy zdjęcie, nigdy chmura, nigdy Notatnik.
3. Przetestuj odzysk na drugim urządzeniu zanim wyślesz większe środki.
4. Rozważ passphrase dla Vault – zapisz osobno od seed.

Approvale, permit i transakcje – gdzie giną pieniądze

Najczęstsza przyczyna drenażu: nieograniczony approval ERC20.

Gdy dajesz approval DEX na USDC, mówisz kontraktowi: “możesz wydać dowolną ilość moich USDC aż odwołam”. Jeśli kontrakt DEX zostanie zhakowany lub podmieniony na phishingowy, może wyczyścić USDC.

Jak się bronić:

• Używaj Rabby – pokazuje przed podpisem, co faktycznie podpisujesz, czy to approval, permit, czy transfer.
• Dawaj approval na kwotę transakcji, nie unlimited (Uniswap pozwala ustawić custom limit).
• Regularnie czyść approvale: Revoke.cash, Rabby Approval Center.
• Rozróżniaj:

Zasada: jeśli Dapp prosi o setApprovalForAll dla NFT i nie jest to OpenSea/Blur, nie podpisuj z portfela z drogimi NFT.

Checklist przed podpisem (obowiązkowo)

1. Czy URL to oficjalna domena? (sprawdź Twitter projektu, nie Google Ads)
2. Czy Rabby/MetaMask pokazuje poprawny kontrakt i sieć?
3. Czy to approval unlimited? Jeśli tak -> zmień na limit lub użyj Burner
4. Czy funkcja to "Claim" ale kontrakt chce "TransferFrom" na wszystkie tokeny? -> SCAM
5. Czy kwota gas nie jest absurdalna (np. 1 ETH gas za claim)? -> często ukryty transfer

Multisig – Safe

Safe (safe.global) to kontrakt, który wymaga M z N podpisów.

Przykład: Twój Vault jako multisig 2/3:

• Klucz 1: Ledger w domu
• Klucz 2: Trezor w skrytce bankowej / u rodziny
• Klucz 3: Keystone lub papier w sejfie

Aby wysłać środki, potrzebujesz podpisu z 2 z 3 urządzeń. Kradzież jednego nie kończy się utratą. Zgubienie jednego nie blokuje środków.

Multisig jest też standardem projektów DeFi – jeśli projekt trzyma treasury na EOA (zwykłym portfelu) a nie na multisig z timelockiem, to czerwona flaga.

Zastosowania:

• Twój osobisty skarbiec >$25k
• Każde wspólne zarządzanie kapitałem
• Przechowywanie seedów dla firmy – klucz 3 u prawnika

Phishing – wektor #1

Ataki nie łamią kryptografii. Łamią Twój proces.

Najczęstsze scenariusze:

• Fałszywy airdrop: DMs na Discord/Telegram “Jesteś eligible, kliknij”. Domena z literówką.
• Fałszywy update: “Musisz zrestartować MetaMask”. Nigdy nie wpisuj seed w przeglądarce.
• Drainers jako reklamy Google: sponsorowany wynik “Uniswap” prowadzi na uniswaρ.com.
• Podmiana schowka: malware podmienia kopiowany adres na adres atakującego. Zawsze sprawdzaj pierwsze 4 i ostatnie 4 znaki adresu docelowego.

Mitigacja:

• Zakładka: wszystkie Dappi ulubione – wchodź tylko z zakładek.
• Rabby + Wallet Guard / Pocket Universe symuluje transakcję.
• Oddzielna przeglądarka tylko do krypto (np. Brave profile), bez losowych rozszerzeń.
• DNS: używaj rozszerzenia, które ostrzega przed nową domeną (<30 dni).

Kiedy plan mówi nie handluj

1. Gdy masz tylko jeden portfel na wszystko. Bez podziału Vault / Operating / Burner – jedna zła transakcja = utrata wszystkiego. Najpierw architektura, potem handel.
2. Gdy Dapp prosi o unlimited approval, a Ty nie masz czasu sprawdzić, co podpisujesz. Brak czasu = niehandlowanie. Użyj Burner z małą kwotą.
3. Gdy jesteś po 4 godzinach klikania airdropów i jesteś zmęczony. Zmęczenie = brak checklisty = podpisanie drenażu. Każda sesja farmingu kończy się revokiem i zamknięciem przeglądarki.
4. Gdy seed był kiedykolwiek w schowku, zdjęciu, chmurze, Discord. Uznaj portfel za skompromitowany. Stwórz nowy Vault.
5. Gdy hardware wallet każe Ci zaktualizować firmware z linku w emailu. Update tylko z Ledger Live / Trezor Suite oficjalnej. Nigdy z linku. Jeśli masz wątpliwości – nie aktualizuj w dniu handlu.

Błędy które kosztują najwięcej

1. Jeden seed na 20 portfeli w MetaMask bez hardware. Jedna dziura i wszystkie konta padają.
2. Trzymanie całego kapitału w hot wallet “bo wygodniej”. Wygoda kosztuje 100% przy drenażu.
3. Kopiowanie seeda do 1Password/Notion/Gmail jako “backup”. To nie backup. To wystawienie klucza na internet.
4. Brak testowej transakcji $1 przed wysyłką $10k na nowy łańcuch. Złe sieci, memo, chain ID – $1 test oszczędza kapitał.
5. Ignorowanie approvali po farmingu. Po kampanii airdrop masz 30 unlimited approvali na podejrzane kontrakty. To tykające bomby. Czyść co tydzień.

Ćwiczenie mierzalne

Audyt OPSEC – 60 minut raz w miesiącu:

1. Otwórz Rabby Approval Center + Revoke.cash dla każdego portfela. Zapisz liczbę aktywnych approvali unlimited.

2. Cel: 0 unlimited na Vault, <5 na Operating, dowolnie na Burner, ale czyszczony co 14 dni.
3. Przeprowadź test odzyskiwania Vault na drugim urządzeniu (bez kasowania pierwszego) – czy seed + passphrase działa?
4. Zasymuluj phishing: wyślij sobie fake link i sprawdź, czy procedura zakładek Cię chroni.
5. Zapisz procedurę spadkową: co ma zrobić rodzina, jeśli zgubisz dostęp? Gdzie jest seed, gdzie jest instrukcja? Bez tego skarbiec staje się paleniskiem.

Metryki:
Liczba approvali unlimited: 0 w Vault = PASS
Czas do odzyskania portfela z seed: <15 min = PASS
Test transakcji $1 przed każdą wysyłką >$1000: 100% = PASS

Sprawdź się

1. Czym różni się seed od private key i dlaczego seed jest krytyczny?
2. Opisz architekturę 3 portfeli i przepływ środków.
3. Co to jest permit i dlaczego jest groźniejszy niż zwykły podpis?
4. Kiedy Safe 2/3 chroni Cię, a kiedy nie wystarczy?
5. Jak sprawdzasz, czy podpisujesz approval unlimited czy limitowany?

Częste pytania

Ledger czy Trezor? Obydwa lepsze niż hot. Ledger ma Secure Element, Trezor jest w 100% open source. Dla Vault rozważ oba (dywersyfikacja producenta). Najważniejsze to kupić z oficjalnego sklepu, nie z Allegro.

Czy Rabby jest bezpieczniejszy od MetaMask? Rabby ma lepszą symulację transakcji, pokazuje breakdown approvala i ostrzega przed phishingiem. Nie oznacza, że MetaMask jest zły – ale w farmingu wielołańcuchowym Rabby redukuje błędy operacyjne.

Czy przechowywanie seeda w banku to dobry pomysł? Tak, jako jedna z kopii, w stalowej formie. Nie papier w kopercie – papier niszczeje. Skrytka bankowa chroni przed kradzieżą domową, ale nie przed inflacją instytucjonalną – dlatego druga kopia w innym miejscu.

Co jeśli projekt prosi mnie o podpisanie wiadomości, by dostać airdrop? Podpis wiadomości (personal_sign) off-chain jest zazwyczaj bezpieczny – nie wysyła transakcji. Ale jeśli wiadomość zawiera dziwne heksadecymalne dane i Rabby pokazuje “Permit” – nie podpisuj. Podpis wiadomości może być też nadużyty do weryfikacji własności, ale nie do transferu środków, dopóki nie jest to typed data permit.

Czy mogę używać tego samego adresu na wielu L2? Tak, ten sam adres EVM działa na wielu L2 (te same klucze). To wygodne, ale łączy Twoją aktywność. Jeśli chcesz rozdzielić tożsamość (np. airdrop farming 20 kont), używaj różnych adresów i unikaj finansowania ich z jednego źródła – łańcuch to widzi.

---