Web3 सुरक्षा

प्रस्तावना

डिजिटल मालकी हे Web3-चे नवे वैशिष्ट्य आहे. ब्लॉकचेन, क्रिप्टोकरन्सी आणि NFT वापरून Web3 मालकी आणि सत्ता पुन्हा वापरकर्त्यांच्या हातात देते. डिजिटल आर्थिक उत्पादनांची अशी ऑनलाइन मालकी अनेकांसाठी नवीन आहे, आणि याच अनुभवाच्या कमतरतेचा फायदा घेऊन काही लोक इतरांची फसवणूक करतात व त्यांची ॲसेट चोरतात. या फसवणुका इतक्या यशस्वी होतात कारण त्या कशा चालतात हेच बहुतेकांना माहीत नसते.

पण फसवणूक फक्त Web3-मध्येच होते असे नाही. ईमेल आणि सोशल मीडियासारख्या Web2 सेवाही फसवणुकीने भरलेल्या आहेत. शिवाय अनेक Web3 साधने अजूनही बँक खाती किंवा केंद्रित एक्सचेंज अशा Web2 सेवांशी जोडलेली असतात, त्यामुळे त्यांचे रक्षण करणेही तितकेच महत्त्वाचे आहे. तेव्हा अभिनंदन, Academy एक्सप्लोरर! Web3-च्या जगात पाऊल टाकताना तुमचे रक्षण करणारे ज्ञान मिळवण्यासाठी तुम्ही वेळ देत आहात.

या धड्यात पुढील गोष्टी पाहूया:

• Web2 आणि Web3 सुरक्षा.
• लोक सर्वात जास्त वेळा पैसे कसे गमावतात आणि त्यापासून स्वतःचा बचाव कसा करायचा.
• वॉलेट सुरक्षेसाठी एक सर्वसाधारण रणनीती.
• फसवणुकीला बळी पडल्यावर सावरण्याचे मार्ग.

Web2-मधील पैसे

Web2-मध्ये संस्था लोकांच्या वतीने पैसे सांभाळतात. स्वतःचे पैसे वापरण्यासाठी वापरकर्त्याला संस्थेकडे आपली ओळख सिद्ध करावी लागते. बँक खाते किंवा केंद्रित एक्सचेंज (CEX) यांच्यासारखेच: लॉगिन ID आणि पासवर्ड लागतो.

तुमच्या पैशांपर्यंत पोहोचण्यासाठी फसवणूक करणाऱ्याला हेच ID आणि पासवर्ड मिळवावे लागतात. पैशांचे रक्षण करण्याची जबाबदारी संस्थेवर असल्याने फसवे व्यवहार मागे फिरवता येतात, अगदी क्रेडिट कार्ड व्यवहारावरील तक्रारीसारखे.

Web3-मधील पैसे

Web3-मध्ये पैसे वेगळ्या पद्धतीने चालतात. ते कुलूपबंद रोख पाकिटासारखे असतात: एकदा पैसे गेले की गेले. तुमची सीड फ्रेज (ती गुप्त शब्दांची खास मालिका) तुमच्या खाजगी की उघडते, त्यामुळे ती ज्याला मिळेल तो तुमचे वॉलेट ताब्यात घेतो. ती कधीही कोणालाही देऊ नका आणि डिजिटल स्वरूपात साठवू नका. फोटो आणि नोट्स ॲप हॅक होऊ शकतात.

पण सीड फ्रेज हेच एकमेव लक्ष्य नाही. एक घातक स्वाक्षरी (तुम्ही मंजूर केलेला व्यवहार किंवा संदेश) तुमची सीड फ्रेज न पाहताही फसवणूक करणाऱ्याला तुमची टोकन रिकामी करू देते. तुमची सीड फ्रेज आणि तुमची स्वाक्षरी, दोन्हींचे रक्षण करा.

ज्ञान तपासणी 1

खरे की खोटे? तुमची सीड फ्रेज माहीत नसतानाही, घातक व्यवहार किंवा मंजुरीवर स्वाक्षरी करायला लावून फसवणूक करणारे तुमच्या वॉलेटमधील टोकन रिकामी करू शकतात.

• [ ] खरे

• [ ] खोटे

सीड फ्रेज सुरक्षित ठेवणे

सीड फ्रेज सुरक्षित ठेवण्याचे अनेक मार्ग आहेत, पण सुरुवात म्हणून ती कागदावर (लॅमिनेट केलेल्या किंवा तत्सम) लिहून तुमच्याच घरातील पाणी व आगरोधक तिजोरीत ठेवा. सीड फ्रेज फोटो म्हणून किंवा इतर डिजिटल पद्धतीने साठवू नका, पासवर्ड मॅनेजरमध्येही नाही.

सीड फ्रेज ठेवण्यासाठी वाईट जागा:

• फाइल कपाटात
• डिजिटल नोट्स ॲपमध्ये
• कामाच्या ठिकाणी
• डिजिटल फोटोमध्ये

सीड फ्रेज कुठेही ठेवली तरी ती फक्त तुम्हालाच मिळेल आणि हरवणार किंवा नष्ट होणार नाही याची खात्री करा. भविष्यात काय होईल हे कोणालाच सांगता येत नाही.

पासवर्डचे रक्षण करा

पासवर्ड नीट वापरणे आणि सांभाळणे हा रोजच्या इंटरनेट वापराचा महत्त्वाचा भाग आहे.

ऑनलाइन वापरल्या जाणाऱ्या प्रत्येक Web2 सेवेसाठी वेगळा पासवर्ड ठेवा. यात ईमेल, केंद्रित एक्सचेंज आणि इतर सेवांची खाती येतात. एका खात्याचे ID आणि पासवर्ड कोणाला मिळणे हेच वाईट आहे, पण त्याच जोडीने तुमची सगळी खाती उघडत असतील तर ते कितीतरी पट वाईट आहे.

1Password, Bitwarden आणि KeePass अशी पासवर्ड मॅनेजर ॲप्स अनेक पासवर्ड सुरक्षितपणे साठवतात आणि एन्क्रिप्ट करतात. ती नवे मजबूत पासवर्ड तयार करून आपोआप जपूनही ठेवतात. वापरकर्त्याला फक्त एकच मास्टर पासवर्ड लक्षात ठेवावा लागतो.

Web3-ची सीड फ्रेज पासवर्ड मॅनेजरमध्ये ठेवू नका. एकदा पासवर्ड फुटला की तुमची सगळी Web3 ॲसेट जातात, आणि ती परत मिळवून देणारे कोणीही नसते.

ज्ञान तपासणी 2

पासवर्ड मॅनेजर उपयुक्त का ठरतात?

• [ ] फक्त मास्टर पासवर्ड लक्षात ठेवला की पुरे

• [ ] ते मजबूत आणि वेगवेगळे पासवर्ड तयार करून साठवतात

• [ ] ते पासवर्ड एन्क्रिप्ट करून सुरक्षित ठेवतात

• [ ] वरील सर्व

टू-फॅक्टर ऑथेंटिकेशन

टू-फॅक्टर ऑथेंटिकेशन, म्हणजेच 2FA, हा Web2 सुरक्षेचा दुसरा थर आहे.

मजबूत पासवर्ड असूनही अनेकांची खाती हॅक झाली आहेत. Web2 वेबसाइट आणि पासवर्ड मॅनेजर दुसरा थर म्हणून 2FA देतात: नेहमीच्या पासवर्डसोबत दुसऱ्या डिव्हाइस किंवा ॲपकडून मिळणारा पुरावा.

सगळे 2FA सारखे नसतात:

🥉 SMS कोड सर्वात कमकुवत. फसवणूक करणारे सोशल इंजिनिअरिंग वापरून तुमचा नंबर स्वतःच्या डिव्हाइसवर “SIM-स्वॅप” करतात आणि कोड मिळवतात. तरीही 2FA नसण्यापेक्षा SMS बरा.

🥈 ऑथेंटिकेटर ॲप्स (Google Authenticator, 2FAS किंवा Aegis) तुमच्याच डिव्हाइसवर कोड तयार करतात. बहुतेक खात्यांसाठी हा चांगला पर्याय.

🥇 पासकी आणि हार्डवेअर सुरक्षा की (उदा. YubiKey) फिशिंगपासून वाचवणारे सर्वोत्तम साधन. ते खऱ्या वेबसाइटशी जोडलेले असल्याने बनावट वेबसाइटवर लॉगिन होतच नाही.

ज्ञान तपासणी 3

टू-फॅक्टर ऑथेंटिकेशनची जोरदार शिफारस का केली जाते?

• [ ] 2FA चालू असलेले खाते हॅक होणे अशक्य असते

• [ ] ते Web2 खात्यांना सुरक्षेचा आणखी एक थर देते

• [ ] ते पासवर्ड अधिक मजबूत करते

• [ ] वरील सर्व

सोशल इंजिनिअरिंग फसवणूक

Web2 आणि Web3 या दोन्हींमध्ये फसवणूक करणारे फिशिंग डावपेच वापरून लोकांकडून पासवर्ड आणि सीड फ्रेज मिळवतात, किंवा घातक व्यवहारावर स्वाक्षरी करायला लावतात. बरेचदा ते मदत देऊ करणारे सपोर्ट कर्मचारी असल्याचे भासवतात, “नमस्कार, हे Metamask सपोर्ट आहे”, किंवा एखाद्या समुदायाचे ॲडमिन असल्याचे भासवतात, “नवीन NFT मिंट, फक्त आपल्या समुदायासाठी”.

लोकांवर दबाव आणण्यासाठी ते सोशल इंजिनिअरिंग वापरतात. काही उदाहरणे:

• “वेळ संपत आली आहे!” म्हणजे घाई करायला लावणे.
• “अभिनंदन, तुम्ही आमची लॉटरी जिंकली!” म्हणजे खास वाटायला लावणे.
• “आमच्या प्री-मिंटमध्ये आधी प्रवेश मिळवा!” म्हणजे FOMO निर्माण करणे.

काहीतरी हुकण्याची भीती

FOMO म्हणजे ‘Fear Of Missing Out’, म्हणजेच काहीतरी हुकण्याची भीती. आत्ताच काही केले नाही तर मोठा फायदा किंवा संधी निसटून जाईल, अशी ताण देणारी भावना.

FOMO-वरचा सर्वोत्तम उपाय म्हणजे संगणकापासून थोडे दूर होऊन विश्रांती घेणे. ताणाखाली माणसाचा विचार स्वच्छ राहत नाही, म्हणूनच FOMO हे फसवणुकीचे इतके प्रभावी हत्यार आहे. परिस्थितीपासून थोडे बाजूला झाले की फसवणूक ओळखणे खूप सोपे होते.

ज्ञान तपासणी 4

फसवणूक करणारे सोशल इंजिनिअरिंग कसे वापरतात?

• [ ] समुदायातील अधिकारी असल्याचे भासवून

• [ ] कमी वेळेचा दबाव आणून

• [ ] FOMO निर्माण करण्यासाठी फुकट NFT देऊ करून

• [ ] वरील सर्व

सोशल मीडियावर सुरक्षा

फसवणूक करणारे सोशल मीडियावर आणि क्रिप्टो प्रकल्पांच्या Discord सर्व्हरवर सक्रिय असतात. अनुभवी सदस्यांच्या नजरेतून सुटण्यासाठी ते संभाषण डायरेक्ट मेसेजमध्ये नेतात. सार्वजनिक ठिकाणीच बोला, तुमची सीड फ्रेज कधीही कोणाला देऊ नका आणि DM-मधून आलेल्या लिंकवर काहीही स्वाक्षरी करू नका.

सोशल मीडियावरील रेड फ्लॅग:

🚩 भाषा आणि व्याकरणाच्या चुका: सतत चुकीचे शब्द आणि वाक्यरचना.

🚩 FOMO: “संधी हुकवू नका!”

🚩 तोतयागिरी: ॲडमिन, सपोर्ट डेस्क, Vitalik Buterin, Elon Musk वगैरे.

🚩 हमखास परतावा: क्रिप्टोमध्ये कशाचीही हमी नसते.

🚩 न मागता आलेल्या लिंक आणि ऑफर, विशेषतः डायरेक्ट मेसेजमध्ये.

सोशल मीडियावरील चांगल्या सवयी

सुरक्षित राहण्यासाठी काही सवयी:

✅ उत्पादन विकण्यासाठी कोणी थेट तुम्हाला मेसेज करत असेल, तर ते उत्पादन तुम्हाला बहुधा नकोच आहे.

✅ प्रकल्पाचे फॉलोअर आणि सदस्य किती आहेत ते पाहा, पण त्यावरून प्रकल्प खरा, दर्जेदार किंवा टिकाऊ असल्याची हमी मिळत नाही.

✅ प्रत्येक गोष्ट बाहेरच्या स्रोताकडून तपासा, जसे की प्रकल्पाचे दुसरे अधिकृत खाते.

✅ शंका असेल तर तुमचा विश्वास असलेल्या मोठ्या समुदायातील नामांकित सदस्यांना जाहीरपणे विचारा.

स्कॅम टोकन आणि ॲड्रेस पॉइझनिंग

तुमच्या वॉलेटमध्ये अनोळखी टोकन किंवा NFT दिसतात का? स्कॅम टोकन एकाच वेळी हजारो वॉलेटमध्ये पाठवली जातात. कोणीतरी ती हलवायचा किंवा विकायचा प्रयत्न करेल आणि टोकनच्या स्मार्ट कॉन्ट्रॅक्टमधील घातक कोड चालू होईल, किंवा सीड फ्रेज अथवा घातक स्वाक्षरी मागणाऱ्या फिशिंग वेबसाइटवर बळी जाईल, हीच त्यामागची आशा असते. सर्वोत्तम उत्तर: त्यांना अजिबात हात लावू नका, तशीच सोडून द्या किंवा वॉलेटमध्ये लपवा.

याच्याशी जुळता डाव म्हणजे ॲड्रेस पॉइझनिंग. तुम्ही वापरता त्या पत्त्याची पहिली आणि शेवटची अक्षरे जुळतील असा हुबेहूब दिसणारा पत्ता तयार करून फसवणूक करणारे त्यावरून अगदी छोटी रक्कम पाठवतात. नंतर व्यवहारांच्या इतिहासातून पत्ता कॉपी केला, तर त्यांचाच बनावट पत्ता हाती लागू शकतो.

स्वतःचे रक्षण करा:

• व्यवहारांच्या इतिहासातून पत्ते कॉपी करू नका.
• फक्त सुरुवातीची आणि शेवटची अक्षरे नव्हे, अधिक तपासा.
• मोठी रक्कम पाठवण्याआधी छोटी चाचणी रक्कम पाठवा.

घातक मंजुरी आणि अंधपणे स्वाक्षरी

आज बहुतेक पैसे चोरलेल्या सीड फ्रेजमुळे नव्हे, तर दिलेल्या स्वाक्षऱ्यांमुळे जातात. “वॉलेट ड्रेनर” फिशिंग किट नेहमीसारखा दिसणारा व्यवहार किंवा संदेश समोर ठेवतात, पण तो तसा नसतो:

• घातक मंजुरी: एकच मंजुरी व्यवहार फसवणूक करणाऱ्याच्या कॉन्ट्रॅक्टला तुमची टोकन किंवा NFT खर्च करण्याची अमर्याद टोकन खर्च मर्यादा देऊ शकतो.
• स्वाक्षरी फिशिंग: गॅसविना होणाऱ्या स्वाक्षरी मंजुऱ्या (उदा. Permit2) कोणत्याही व्यवहाराशिवाय टोकन हस्तांतरणाला परवानगी देतात.
• डेलिगेशन ड्रेन: वॉलेटच्या नव्या सुविधेमुळे (EIP-7702) एका स्वाक्षरीने तुमच्या खात्यावर कोड बसवता येतो. ड्रेनर याचा गैरवापर करून वॉलेट आपोआप रिकामी करतात.

न समजलेल्या गोष्टीवर स्वाक्षरी करणे याला अंधपणे स्वाक्षरी म्हणतात, आणि यात तज्ज्ञही फसतात: फेब्रुवारी 2025-मध्ये Bybit एक्सचेंजने छेडछाड केलेला व्यवहार मंजूर करून सुमारे $1.5 बिलियन गमावले.

तुमचा बचाव: घाई करू नका, प्रत्येक स्वाक्षरी विनंती वाचा, “तुमचे वॉलेट पडताळा” असे संदेश शत्रू समजा, आणि स्वाक्षरीआधी व्यवहाराचे सिम्युलेशन दाखवणारे वॉलेट वापरा.

ज्ञान तपासणी 5

तुम्हाला DM येतो: “तुमचे वॉलेट स्थलांतरित करावे लागेल: metamask-upgrade.app-वर जोडा आणि ॲसेट पडताळण्यासाठी स्वाक्षरी करा.” ती साइट गॅसविना मंजुरीवर स्वाक्षरी मागते. यात चूक काय आहे?

• [ ] काहीच नाही, स्वाक्षरी फुकट असते आणि पैसे हलवू शकत नाही

• [ ] सीड फ्रेज टाइप केली तरच धोका असतो

• [ ] सुरक्षित आहे, कारण सपोर्ट टीम DM-मधून संपर्क करते

• [ ] ही स्वाक्षरी फिशिंग आहे, स्वाक्षरीने टोकन जाऊ शकतात

हार्डवेअर वॉलेट

आमच्या वॉलेटची मूलतत्त्वे धड्यात पाहिल्याप्रमाणे, हार्डवेअर वॉलेट तुमच्या खाजगी की स्वतंत्र उपकरणावर ठेवते, इंटरनेटशी जोडलेल्या संगणकापासून दूर. यामुळे पैसे खूप सुरक्षित होतात: मालवेअर तुमच्या की वाचू शकत नाही, आणि चोराला ते उपकरण प्रत्यक्ष चोरून उघडावे लागेल. Ledger, Trezor आणि Keystone हे लोकप्रिय पर्याय आहेत. नेहमी थेट उत्पादकाकडूनच खरेदी करा.

MetaMask सारख्या ब्राउझर एक्सटेन्शन वॉलेटमधूनही हार्डवेअर वॉलेट वापरता येते, म्हणजे सोय आणि हार्डवेअर सुरक्षा एकत्र. हे कसे करायचे याचे स्वतःचे मार्गदर्शन Ledger-ने लिहिले आहे.

एक मर्यादा: तुम्ही जे मंजूर कराल त्यावर हार्डवेअर वॉलेट स्वाक्षरी करते, त्यामुळे घातक व्यवहारावर अंधपणे स्वाक्षरी केली तरी पैसे जातातच. पुष्टी करण्याआधी उपकरणाच्या स्वतःच्या स्क्रीनवर तपशील नेहमी तपासा.

ज्ञान तपासणी 6

खरे की खोटे? प्रत्येक व्यवहार मंजूर करण्याआधी तपासला तरच हार्डवेअर वॉलेट तुमचे पैसे सुरक्षित ठेवते.

• [ ] खरे

• [ ] खोटे

वॉलेटची रणनीती

हार्डवेअर वॉलेट वापरात आणल्यानंतर पैसे सुरक्षित ठेवण्याचा एक उत्तम मार्ग म्हणजे ते अनेक वॉलेटमध्ये विभागून ठेवणे. तीन स्वतंत्र वॉलेट वापरणारी एक रणनीती:

1. सोशल वॉलेट: लॉगिन, मिंटिंग आणि नवीन dApp आजमावण्यासाठी वापरायचे, अगदी थोडे पैसे असलेले हॉट वॉलेट. यातले सर्व काही जाऊ शकते असे गृहीत धरा.
2. ट्रेडिंग वॉलेट: ट्रेडिंगसाठी आणि लगेच हलवावे लागतील अशा पैशांसाठीचे हॉट वॉलेट.
3. HODL वॉलेट: दीर्घ काळ HODL करण्यासाठीचे हार्डवेअर वॉलेट. हे पैसे बराच काळ ठेवायचे असतात. या वॉलेटने स्मार्ट कॉन्ट्रॅक्ट किंवा अनोळखी वेबसाइटशी कधीही व्यवहार करू नका.

👍 फायदे: विभागणीमुळे फसवणुकीचा धोका सगळ्या पैशांना नसतो, तर फक्त त्याच वॉलेटमधील पैशांना असतो.

👎 तोटे: सगळ्याचा हिशेब ठेवणे थोडे किचकट होते, पण अनेक वॉलेट ॲप्समध्ये वॉलेटला नाव देता येते.

ज्ञान तपासणी 7

अधिक सुरक्षेसाठी आम्ही तुमचे पैसे _______________ ठेवण्याची शिफारस करतो.

• [ ] अनेक एअरड्रॉपमध्ये साठवून

• [ ] अनेक NFT-मध्ये अडकवून

• [ ] अनेक वॉलेटमध्ये वेगवेगळे

• [ ] अनेक पत्त्यांवर लिक्विड स्वरूपात

Web2 फसवणुकीतून सावरणे

आशा आहे की तुमची अजून कोणी फसवणूक केली नसेल. पण तसे झाले असेल, तर खाती पुन्हा सुरक्षित करण्यासाठी काही पावले उचला.

Gmail किंवा Discord सारख्या Web2 सेवेशी संबंधित फसवणूक झाली असेल, तर:

• त्या खात्याचा पासवर्ड बदला.
• उपलब्ध असेल तिथे “sign out everywhere else” बटण वापरून फसवणूक करणाऱ्यांना खात्यातून बाहेर काढा.
• 2FA चालू करा: शक्यतो पासकी किंवा हार्डवेअर सुरक्षा की, नाहीतर ऑथेंटिकेटर ॲप.
• संबंधित सेवेकडे फसवणुकीची तक्रार नोंदवा.
• तुमचे ईमेल खातेही सुरक्षित असल्याची खात्री करा.
• मित्रांशी किंवा विश्वासू समुदाय सदस्यांशी या फसवणुकीबद्दल बोला.

Web3 फसवणुकीतून सावरणे

Ethereum-वर टोकन खर्च करण्यासाठी कॉन्ट्रॅक्टला स्पष्ट परवानगी द्यावी लागते. एका ठराविक कॉन्ट्रॅक्टला तुम्ही किती खर्च करू दिला आहे, ती त्याची टोकन खर्च मर्यादा. या मर्यादा कमी ठेवल्या की तुमच्या ॲसेटवरचा धोका कमी होतो.

Web3-मध्ये प्रोटोकॉलचा मालक असा कोणी नसतो, त्यामुळे फसवणुकीची तक्रार कोणाकडे करायची हा प्रश्नच येतो. तरीही तुम्ही हे करू शकता:

• फसलेल्या वॉलेटमध्ये उरलेले पैसे लगेच दुसऱ्या वॉलेटच्या पत्त्यावर हलवा, नव्या पत्त्याची सीड फ्रेज वेगळी असल्याची खात्री करा.
• revoke.cash (अनेक नेटवर्कवर चालते) किंवा etherscan.io/tokenapprovalchecker वापरून तुमच्या टोकन खर्च मर्यादा तपासा आणि रद्द करा. रद्द करण्यासाठी गॅस लागतो. revoke.cash-वर त्याचे मार्गदर्शन आहे.
• revoke.cash-वरील “Delegations” टॅबमध्ये ओळखीचे नसलेले वॉलेट डेलिगेशन आहे का ते पाहा, आणि असल्यास ते तुमच्या वॉलेट ॲपमधून काढून टाका.
• पुढे हार्डवेअर वॉलेट वापरा आणि स्वाक्षरी करण्याआधी प्रत्येक तपशील तपासा.
• ज्या समुदायावर परिणाम झाला त्यांना फसवणुकीची माहिती देऊन इतरांना सावध करा.
• भविष्यात स्वतःचे आणि इतरांचे रक्षण कसे करायचे हे समजण्यासाठी मित्रांशी किंवा विश्वासू समुदाय सदस्यांशी या फसवणुकीबद्दल बोला.