Usalama wa Web3

Jilinde na ulinde mkoba wako dhidi ya ulaghai ulioenea zaidi katika web3.

Utangulizi

Umiliki wa kidijitali ndicho kipengele kipya cha Web3. Kwa kutumia blockchain, sarafu za kripto na NFT, Web3 inarudisha umiliki na nguvu mikononi mwa watumiaji. Umiliki huu wa bidhaa za kifedha za kidijitali ni mpya kwa wengi, na ukosefu huo wa uzoefu unawapa walaghai nafasi ya kuiba mali za wengine. Ulaghai huu unafanikiwa sana kwa sababu watu wengi hawajui unavyofanya kazi.

Lakini si Web3 pekee inayosumbuliwa na ulaghai; huduma za Web2 kama barua pepe na mitandao ya kijamii zimejaa ulaghai pia. Zaidi ya hayo, zana nyingi za Web3 bado zimefungamana na huduma za Web2 kama akaunti za benki au masoko ya kati, hivyo kulinda hizo ni muhimu vilevile. Hongera, Mgunduzi wa Academy, kwa kutenga muda wa kujipatia maarifa yatakayokulinda unapoingia kwenye Web3!

Somo hili litagusia:

Usalama wa Web2 na Web3.
Njia zinazotumika zaidi za watu kupoteza pesa zao na jinsi ya kujilinda.
Mkakati wa jumla wa usalama wa mkoba.
Jinsi ya kujinasua ukiwa mwathirika wa ulaghai.

Pesa katika Web2

Katika Web2, taasisi zinashikilia pesa kwa niaba yako. Ili kufikia na kutumia pesa zako, lazima uthibitishe utambulisho wako kwa taasisi hiyo. Ni sawa na akaunti ya benki au soko la kati (CEX): unahitaji kitambulisho cha kuingia na nenosiri.

Ili mlaghai afikie pesa zako, anahitaji mchanganyiko huo wa kitambulisho na nenosiri. Kwa kuwa taasisi ndizo zenye jukumu la kulinda pesa zako, miamala ya udanganyifu inaweza kutenguliwa, kama mzozo wa muamala wa kadi ya mkopo.

Pesa katika Web3

Katika Web3, pesa hufanya kazi tofauti. Ni kama mkoba wa fedha uliofungwa: pesa zikishatoka, zimeondoka. Seed phrase yako (seti ile maalum ya maneno ya siri) inafungua funguo za siri zako, hivyo yeyote anayeipata anadhibiti mkoba wako. Kamwe usimpe mtu yeyote, wala usiihifadhi kidijitali; picha na programu za madokezo zinaweza kuvamiwa.

Lakini seed phrase yako si lengo pekee: saini moja hatari (muamala au ujumbe unaoidhinisha) inaweza kumwezesha mlaghai kuiba tokeni zako bila kuiona seed phrase yako kabisa. Linda seed phrase na saini yako.

Jaribio la maarifa 1

Kweli au si kweli? Walaghai wanaweza kuiba tokeni kutoka mkoba wako kwa kukudanganya usaini muamala au idhini hatari, bila kujua seed phrase yako.

[ ] Kweli
[ ] Si kweli

Hifadhi salama ya seed phrase

Kuna njia nyingi za kuhifadhi seed phrase kwa usalama, lakini mwanzo mzuri ni kuiweka kwenye kitu halisi (karatasi iliyofunikwa kwa plastiki au kitu kama hicho) na kuihifadhi kwenye sefu isiyoingiza maji wala moto nyumbani kwako. Usihifadhi seed phrase kama picha au kwa njia nyingine ya kidijitali, hata kwenye kidhibiti cha nenosiri.

Sehemu mbaya za kuhifadhi seed phrase ni pamoja na:

Kwenye kabati la mafaili
Programu ya madokezo ya kidijitali
Mahali pako pa kazi
Picha ya kidijitali

Popote unapohifadhi seed phrase yako, hakikisha wewe pekee ndiye unayeweza kuifikia na kwamba imelindwa dhidi ya kupotea na kuharibika. Hujui kitakachotokea baadaye!

Linda manenosiri yako

Matumizi na usimamizi mzuri wa manenosiri ni sehemu muhimu ya safari ya kila siku ya intaneti.

Nenosiri liwe tofauti kwa kila huduma ya Web2 unayotumia mtandaoni. Hii inajumuisha huduma kama barua pepe, masoko ya kati na akaunti nyingine za huduma. Ni tatizo mtu akipata kitambulisho na nenosiri la akaunti moja, lakini ni baya zaidi mchanganyiko huo ukifungua akaunti zako zote!

Programu za kidhibiti cha nenosiri kama 1Password, Bitwarden na KeePass zinahifadhi na kusimba manenosiri mengi kwa usalama; zinaweza hata kutengeneza manenosiri mapya yenye usalama wa hali ya juu na kuyahifadhi zenyewe. Unachotakiwa kukumbuka ni nenosiri kuu moja tu.

Usihifadhi seed phrase ya Web3 kwenye kidhibiti cha nenosiri; inatosha uvunjaji mmoja wa nenosiri kupata mali zako zote za Web3, na hakuna mtu wa kukurudishia.

Jaribio la maarifa 2

Kwa nini vidhibiti vya nenosiri vinasaidia?

[ ] Unakumbuka nenosiri kuu moja tu ili kuvitumia.
[ ] Vinatengeneza na kuhifadhi manenosiri imara ya kipekee.
[ ] Vinasimba manenosiri ili yawe salama.
[ ] Yote yaliyo hapo juu

Uthibitishaji wa hatua mbili

Uthibitishaji wa hatua mbili, unaojulikana kama 2FA, ni tabaka la pili la usalama wa Web2.

Wengi wamevamiwa akaunti au kuibiwa vitambulisho licha ya manenosiri imara. Tovuti za Web2 (na hata kidhibiti cha nenosiri) zinatoa 2FA kama tabaka la pili: uthibitisho kutoka kifaa au programu nyingine, zaidi ya nenosiri lako.

Si kila 2FA ni sawa:

🥉 Misimbo ya SMS ni dhaifu zaidi: kwa udanganyifu wa kijamii walaghai huhamisha namba yako kwao ("SIM-swap") na kupokea misimbo yako. Bado ni bora kuliko kukosa 2FA.

🥈 Programu za uthibitishaji (kama Google Authenticator, 2FAS au Aegis) zinatengeneza misimbo kwenye kifaa chako, chaguo imara kwa akaunti nyingi.

🥇 Passkeys na funguo za maunzi za usalama (kama YubiKey) ni bora kabisa, sugu kwa phishing: zimefungamana na tovuti halisi, hazifanyi kazi kwenye tovuti bandia.

Jaribio la maarifa 3

Kwa nini uthibitishaji wa hatua mbili unapendekezwa sana?

[ ] Haiwezekani kuvamia akaunti yenye 2FA.
[ ] Inaongeza tabaka jingine la usalama kwenye akaunti za Web2.
[ ] Inafanya manenosiri kuwa imara zaidi.
[ ] Yote yaliyo hapo juu

Ulaghai wa udanganyifu wa kijamii

Katika Web2 na Web3, walaghai wanatumia mbinu za phishing kuwahadaa watu watoe manenosiri na seed phrase zao, au wasaini muamala hatari. Mara nyingi wanajifanya wafanyakazi wa huduma kwa wateja, "Habari, hii ni Metamask support", au wanajifanya wasimamizi wa jumuiya, "Uzalishaji mpya wa NFT, maalum kwa jumuiya yetu".

Wanatumia udanganyifu wa kijamii kukushinikiza. Mifano:

"Muda unaisha!" hukufanya uharakishe.
"Hongera, umeshinda zawadi yetu!" hufanya jambo lionekane la kipekee.
"Pata nafasi ya awali kabla ya uzalishaji!" huzalisha FOMO kwa anayelaghaiwa.

Hofu ya kukosa fursa

FOMO inatokana na maneno 'Fear Of Missing Out', yaani hofu ya kukosa fursa. Ni hisia ya msongo kwamba hutapata faida au fursa kubwa isipokuwa ufanye jambo sasa hivi.

Kinga bora dhidi ya FOMO ni kujiondoa kwenye kompyuta na kupumzika kidogo. Watu hawafikiri vizuri wakiwa na msongo, ndiyo maana FOMO ni silaha yenye nguvu kwa walaghai. Ukijiweka mbali na hali hiyo, inakuwa rahisi zaidi kutambua ulaghai jinsi ulivyo.

Jaribio la maarifa 4

Walaghai wanatumiaje udanganyifu wa kijamii?

[ ] Kujifanya mtu mwenye mamlaka ndani ya jumuiya.
[ ] Kuwashinikiza watu kwa muda mfupi.
[ ] Kutoa zawadi au NFT za bure ili kuzalisha FOMO.
[ ] Yote yaliyo hapo juu

Usalama kwenye mitandao ya kijamii

Walaghai wanapenda mitandao ya kijamii na seva za Discord za miradi ya kripto, na mara nyingi wanahamishia mazungumzo kwenye ujumbe binafsi ili wasionekane na wanachama wenye uzoefu. Zungumza hadharani, kamwe usimpe mtu seed phrase yako, wala usisaini kitu kutoka kiungo cha DM.

Ishara za hatari kwenye mitandao ya kijamii:

🚩 Makosa ya lugha na sarufi: Kiswahili cha tafsiri ya mtambo.

🚩 FOMO: "Usikose fursa hii!"

🚩 Kuiga watu: msimamizi, huduma kwa wateja, Vitalik Buterin, Elon Musk.

🚩 Faida ya uhakika: hakuna cha uhakika kwenye kripto.

🚩 Viungo na matoleo usiyoyaomba, hasa kwenye ujumbe binafsi.

Mbinu bora kwenye mitandao ya kijamii

Njia za kubaki salama:

✅ Kama wanalazimika kukutumia ujumbe binafsi ili kuuza bidhaa yao, pengine huihitaji.

✅ Angalia idadi ya wafuasi na wanachama wa mradi, ingawa idadi hiyo haithibitishi uhalali, ubora wala uthabiti wa mradi.

✅ Thibitisha kila kitu kwa chanzo cha nje, kama akaunti nyingine rasmi ya mradi.

✅ Ukiwa na shaka, uliza wanachama wenye sifa nzuri kutoka jumuiya kubwa unayoiamini, na uliza hadharani.

Tokeni za ulaghai na sumu ya anwani

Tokeni au NFT za ajabu zinajitokeza kwenye mkoba wako? Tokeni za ulaghai zinatumwa kwa mikoba maelfu kwa wakati mmoja, kwa matumaini kwamba mtu atajaribu kuzihamisha au kuziuza, na hivyo kuwasha msimbo hatari uliofichwa kwenye mkataba mahiri wa tokeni, au kumvuta kwenye tovuti ya phishing inayoomba seed phrase au saini hatari. Jibu bora: usiguse kabisa; ziache au zifiche kwenye mkoba wako.

Mbinu inayohusiana ni sumu ya anwani: walaghai wanatuma kiasi kidogo sana kutoka anwani iliyoundwa ionekane karibu sawa na anwani unayoitumia, ikilingana kwa herufi za mwanzo na za mwisho. Ukinakili anwani kutoka historia ya miamala baadaye, waweza kuchukua anwani ya mlaghai badala yake.

Jilinde:

Usinakili anwani kutoka historia ya miamala yako.
Thibitisha zaidi ya herufi za mwanzo na za mwisho.
Tuma kiasi kidogo cha jaribio kabla ya uhamisho mkubwa.

Idhini hatari na kusaini bila kusoma

Leo, pesa nyingi hazipotei kwa seed phrase zilizoibwa bali kwa saini zinazotolewa. Vifaa vya phishing vya "wallet drainer" vinaonyesha muamala au ujumbe unaoonekana wa kawaida, kumbe si wa kawaida:

Idhini hatari: muamala mmoja wa idhini unaweza kumpa mkataba wa mlaghai kibali cha tokeni kisicho na kikomo cha kutumia tokeni au NFT zako.
Phishing ya saini: idhini za saini zisizo na gesi (kama Permit2) zinaweza kuruhusu uhamisho wa tokeni, bila muamala wowote.
Uibaji kwa uwakilishi: kipengele kipya cha mkoba (EIP-7702) kinaruhusu saini moja kusakinisha msimbo kwenye akaunti yako; wezi wanakitumia vibaya kufagia mikoba kiotomatiki.

Kusaini kitu usichokielewa kunaitwa kusaini bila kusoma, na hata wataalamu wanaumia: mnamo Februari 2025, soko la Bybit lilipoteza takriban $1.5 bilioni likiidhinisha muamala ambao onyesho lake lilikuwa limebadilishwa.

Kinga zako: punguza mwendo, soma kila ombi la saini, chukulia ujumbe wa "thibitisha mkoba wako" kama adui, na tumia mkoba unaoiga muamala kabla hujasaini.

Jaribio la maarifa 5

Unapokea DM: "Mkoba wako unahitaji kuhamishwa: unganisha kwenye metamask-upgrade.app na usaini ili kuthibitisha mali zako." Tovuti inakuomba usaini idhini isiyo na gesi. Tatizo ni nini hapa?

[ ] Hakuna: saini ni bure na haziwezi kuhamisha pesa.
[ ] Ni hatari tu ukiandika pia seed phrase yako.
[ ] Ni salama kwa kuwa timu za huduma huwasiliana kwa DM.
[ ] Ni phishing ya saini: saini inaweza kuiba tokeni zako.

Mikoba ya maunzi

Kama unakumbuka kutoka somo la Misingi ya mkoba, mkoba wa maunzi unahifadhi funguo za siri zako kwenye kifaa maalum, mbali na kompyuta yako ya intaneti. Hii inalinda pesa zako zaidi: programu hasidi haiwezi kusoma funguo zako, na mwizi angelazimika kuiba kifaa chenyewe na kukivunja. Chaguo maarufu ni Ledger, Trezor na Keystone. Nunua moja kwa moja kutoka kwa mtengenezaji.

Unaweza pia kutumia mkoba wa maunzi kupitia mkoba wa kiendelezi cha kivinjari kama MetaMask, ukichanganya urahisi na usalama wa maunzi. Ledger wameandika mwongozo wa kuanzisha hili.

Kikwazo kimoja: mkoba wa maunzi unasaini chochote unachoidhinisha, hivyo kusaini muamala hatari bila kusoma bado kunapoteza pesa zako. Thibitisha maelezo kwenye skrini ya kifaa chenyewe kabla ya kuthibitisha.

Jaribio la maarifa 6

Kweli au si kweli? Mkoba wa maunzi unalinda pesa zako tu ikiwa unathibitisha kila muamala kabla ya kuuidhinisha.

[ ] Kweli
[ ] Si kweli

Mikakati ya mikoba

Baada ya kuongeza mkoba wa maunzi kwenye mpangilio wako, njia mojawapo bora ya kulinda pesa zako ni kuzitawanya kati ya mikoba kadhaa. Huu hapa mkakati wa kugawanya ukitumia mikoba mitatu tofauti:

Mkoba wa kijamii: mkoba wa mtandaoni wenye pesa kidogo au bila kabisa, kwa kuingia, kuzalisha na kujaribu dApp mpya. Chukulia kilichomo kinaweza kupotea.
Mkoba wa biashara: mkoba wa mtandaoni wa biashara na shughuli nyingine zenye pesa zinazoweza kuhitaji kuhamishwa haraka.
Mkoba wa HODL: mkoba wa maunzi kwa HODL ya muda mrefu, yaani pesa za kushikiliwa kwa muda mrefu. Kamwe usiutumie kwenye mikataba mahiri au tovuti ngeni.

👍 FAIDA: kutenganisha kunahakikisha ulaghai unatishia pesa zilizo kwenye mkoba huo tu, si kila kitu.

👎 HASARA: ni ngumu zaidi kufuatilia, lakini programu nyingi za mkoba zinakuruhusu kuipa mikoba yako majina.

Jaribio la maarifa 7

Tunapendekeza kuweka pesa zako _______________ ili kupata usalama zaidi.

[ ] kwenye migao mingi ya bure
[ ] zikiwa zimefungiwa kwenye NFT nyingi
[ ] zikiwa zimetenganishwa kwenye mikoba kadhaa
[ ] zikiwa na ukwasi kwenye anwani nyingi

Kujinasua kutoka ulaghai wa Web2

Tunatumaini bado hujaathirika na mlaghai. Kama umeathirika, kuna hatua unazopaswa kuchukua ili kulinda akaunti zako tena.

Kwa ulaghai unaohusu huduma ya Web2, kama Gmail au Discord, unapaswa:

Kubadilisha nenosiri la akaunti iliyoathirika.
Pale kinapopatikana, tumia kitufe cha "sign out everywhere else" ili kuwatoa walaghai kwenye akaunti yako.
Kuwasha 2FA: ikiwezekana passkey au ufunguo wa usalama wa maunzi, vinginevyo programu ya uthibitishaji.
Kuripoti ulaghai kwa huduma husika.
Kuhakikisha akaunti yako ya barua pepe nayo iko salama.
Kujadili ulaghai na marafiki au wanachama wa jumuiya unaowaamini.

Kujinasua kutoka ulaghai wa Web3

Mikataba lazima ipewe ruhusa dhahiri ili kutumia tokeni kwenye Ethereum. Kibali cha tokeni ni kiasi ulichoruhusu mkataba fulani kutumia. Kuweka vibali chini kunapunguza hatari kwa mali zako.

Web3 haina mtu anayesimamia itifaki wa kuripoti walaghai, lakini bado unaweza kuchukua hatua:

Hamisha mara moja pesa zozote zilizobaki kwenye mkoba ulioathirika kwenda anwani nyingine ya mkoba, hakikisha anwani mpya ina seed phrase tofauti.
Pitia na ufute vibali vyako vya tokeni kwa revoke.cash (inafanya kazi kwenye mitandao mingi) au etherscan.io/tokenapprovalchecker. Kufuta kunagharimu gesi; revoke.cash ina mwongozo wa hatua kwa hatua.
Angalia pia kichupo cha "Delegations" cha revoke.cash kwa uwakilishi wowote wa mkoba usioutambua, na uuondoe kutoka ndani ya programu ya mkoba wako.
Tumia mkoba wa maunzi siku za usoni, na uthibitishe kila unachosaini.
Waonye wengine kwa kuripoti ulaghai kwa jumuiya iliyoathirika.
Jadili mchakato wa ulaghai na marafiki au wanachama wa jumuiya unaowaamini ili kuona jinsi mnavyoweza kujilinda nyinyi na wengine baadaye.