Kurtarma sözcükleri, cüzdan uygulamasının unutulan şifresini hatırlatan sıradan bir ipucu değildir. Yaygın deterministik cüzdanlarda bu sözcükler, anahtarların yeniden türetilebilmesine imkân veren kurtarma bilgisini kodlar. Bu yüzden onları elde eden kişi, ilgili cüzdan yapısına bağlı olarak varlıklara erişebilir.
Bir anahtar ile kurtarma ifadesi aynı şey değildir
Özel anahtar belirli bir hesabın imza yetkisiyle ilişkilidir. Bir kurtarma ifadesinden ise birden fazla hesap ve anahtar türetilebilir. Bu nedenle sözcüklerin açığa çıkması yalnızca ekranda gördüğünüz tek adresi etkilemeyebilir. Her cüzdan sözcük tabanlı aynı standardı kullanmaz; uyumluluk varsayılmamalıdır.
Cihaz kaybı ile yedek kaybı
Telefon kaybolmuş ama doğru yedek korunmuşsa uyumlu bir cüzdanda kurtarma mümkün olabilir. Cihazla birlikte yedek de kaybolursa, geleneksel kişisel saklama düzeninde erişimi merkezi bir kurumun sıfırlaması genellikle mümkün değildir. Çoklu imza veya sosyal kurtarma gibi farklı tasarımlar kendi kurallarına sahiptir.
Yedeğin doğru olması yetmez, erişilebilir de olmalı
Sözcüklerin sırası ve yazımı önemlidir. Ek bir passphrase kullanılan düzende sözcükler tek başına aynı cüzdanı açmayabilir. Bu ek bilginin kaybı veya yanlış yazılması farklı bir cüzdana erişmeye yol açabilir. Gerçek kurtarma bilgisini rastgele bir internet sayfasına girerek test etmeyin; ilgili cüzdanın güvenilir, resmî doğrulama yöntemini kullanın.
İki ayrı tehdidi yönetin
Hırsızlığa karşı gizlilik gerekir; yangın, su ve kaybolmaya karşı dayanıklılık gerekir. Telefonda fotoğraf tutmak veya buluta otomatik yedeklemek bilgiyi başka hesapların güvenliğine bağlar. Fiziksel yedeğin yeri de yetkisiz kişilere açık olmamalıdır. Miras veya acil durum erişimi gerekiyorsa sırları herkesle paylaşmadan uygulanabilir bir plan düşünülmelidir.
Hiçbir destek görevlisine kurtarma sözcüklerini göndermeyin. Bilgi sızdıysa onu silmek veya uygulama şifresini değiştirmek, saldırganın elindeki kopyayı geçersiz kılmaz. Kurtarma bilgisini, yeniden üretilebilen bütün hesapların kontrolü olarak ele almak gerekir.
Seed Phrase Normal Şifre Değil, Ana Kurtarma Köküdür
Seed phrase, uyumlu bir kripto cüzdanının çok sayıda özel anahtar türetebildiği gizli bilginin insan tarafından okunabilir temsilidir. Bir şirket hesabının şifresi gibi müşteri hizmetleri tarafından sıfırlanamaz. Kelimeler kaybolur ve başka yedek yoksa cüzdana erişim kalıcı olarak kaybedilebilir.
Bu nedenle seed phrase sıradan site şifresinden daha yüksek güvenlik gerektirir. Şifre başka kuruluşun tuttuğu hesaba girişi korurken seed phrase kriptografik kontrolün kendisini yeniden oluşturabilir.
Neden Uzun Sayılar Yerine Kelimeler Kullanılır?
Uzun rastgele sayı veya hexadecimal dizilerini insanın hatasız kopyalaması zordur. Standart kelime listeleri altta yatan rastgeleliği korurken yedeklemeyi daha uygulanabilir hale getirir.
Kelimeler kullanıcının seçtiği anlamlı cümle değildir. Güvenlik, cüzdanın ürettiği rastgele gizli bilgiden ve kelimelerin tam sıra ile gizli tutulmasından gelir.
12 ve 24 Kelime Yaygındır Ama Her Cüzdan Aynı Değildir
Birçok cüzdan 12 veya 24 kelimelik kurtarma ifadesi kullanır. Kelime sayısı alttaki rastgele bilgi ve kontrol bitleriyle ilişkilidir; fakat herhangi 12 kelimenin her cüzdanda çalışacağı düşünülmemelidir.
Uyumluluk kullanılan standarda, türetme yoluna, desteklenen ağa ve bazı ek ayarlara bağlı olabilir. Yedeğe güvenmeden önce belirli cüzdanın nasıl restore edildiğini anlamak gerekir.
Kelime Sırası Gizlinin Bir Parçasıdır
Seed phrase yalnız kelime listesinden ibaret değildir. Sıra kritiktir. Doğru kelimeler yanlış sırada yazılırsa farklı veya geçersiz sonuç ortaya çıkabilir.
Fiziksel yedek hazırlarken kelimeleri numaralandırmak, okunaklı yazmak ve kısaltma kullanmamak yıllar sonra oluşabilecek belirsizliği azaltır.
Seed Phrase, Private Key ve Adres Aynı Şey Değildir
Cüzdan adresi varlık almak için paylaşılabilir. Private key belirli hesabın işlem imzalama yetkisini taşır. Seed phrase ise çoğu yapıda birden fazla private key ve adresi yeniden türetebilir.
Bu hiyerarşi nedeniyle seed phrase’in açığa çıkması tek bir adres bilgisinin paylaşılmasından çok daha ciddidir. Size kripto göndermek isteyen kişinin seed phrase’e hiçbir ihtiyacı yoktur.
Donanım Cüzdanı Seed Phrase’i Önemsiz Hale Getirmez
Hardware wallet günlük kullanımda özel anahtarı izole tutabilir; fakat cihaz bozulur, kaybolur veya zarar görürse kontrolü yeniden kuran şey kurtarma ifadesidir. Seed’i ele geçiren kişi fiziksel cihaza ihtiyaç duymadan cüzdanı başka yerde açabilir.
Bu nedenle cihaz ile seed yedeğini aynı yerde tutmak hırsızlık veya yangında tek noktadan kayıp yaratabilir.
Ekran Görüntüsü ve Bulut Yedeği Yeni Saldırı Yüzeyi Yaratır
Seed’in fotoğrafını çekmek, e-postaya göndermek, not uygulamasına veya buluta kaydetmek çevrim dışı gizliyi kopyalanabilir dijital veriye dönüştürür. Telefonun otomatik fotoğraf yedeği bile kullanıcı fark etmeden başka sistemlere kopya gönderebilir.
Önemli tutarlarda temel prensip seed’i çevrim dışı tutmak ve meşru kurtarma işlemi zorunlu olmadıkça internete bağlı cihaza yazmamaktır.
Sahte Destek Seed Phrase Çalmanın En Yaygın Yollarındandır
Dolandırıcılar cüzdanın senkronize edilmesi, doğrulanması, güncellenmesi veya kurtarılması gerektiğini söyler ve kullanıcıyı kelimeleri isteyen forma yönlendirir. Kelimeler girildiği anda saldırgan cüzdanı başka cihazda yeniden oluşturabilir.
Meşru destek görevlisinin seed phrase’in tamamını istemesi gerekmez. Tüm kurtarma kelimelerini isteyen kişi veya site kritik uyarı işaretidir.
Beklenmedik Mesaj Nedeniyle Seed Girmeyin
Mesaj tanınmış cüzdan markasına ait gibi görünse bile bağlantıya tıklayıp kurtarma ifadesi girmeyin. Logo, domain benzerliği ve destek profili taklit edilebilir.
Resmi kaynağa kendi başınıza gidin ve kurtarma prosedürünü doğrulayın. ‘On dakika içinde fonlarınız kilitlenecek’ gibi aciliyet mesajları düşünmeden hareket ettirmek için kullanılır.
Fiziksel Yedeğin de Riskleri Vardır
Kâğıt yanabilir, ıslanabilir, silinebilir veya yanlışlıkla çöpe atılabilir. Metal yedek yangın ve suya karşı daha dayanıklı olabilir; fakat fiziksel hırsızlık riski devam eder.
Yedek o kadar iyi gizlenmiş olabilir ki sahibi yıllar sonra bulamaz. Dayanıklılık, gizlilik, erişilebilirlik ve miras ihtiyacı birlikte düşünülmelidir.
Ek Passphrase Güvenlik ve Kayıp Riskini Birlikte Artırır
Bazı standartlar seed kelimelerine ek bir passphrase kullanılmasına izin verir. Aynı kelimeler farklı passphrase ile farklı cüzdanlar oluşturabilir. Doğru kullanılırsa seed’in tek başına ele geçirilmesine karşı ek koruma sağlayabilir.
Ancak passphrase unutulursa kurtarma yolu olmayabilir. Kullanıcı bu özelliği cüzdanın nasıl uyguladığını anlamadan açmamalıdır.
Büyük Tutar Göndermeden Önce Kurtarmayı Test Edin
Hiç denenmemiş yedekte yazım hatası, yanlış sıra veya eksik talimat bulunabilir. Büyük bakiye taşımadan önce güvenilir yöntemle yapılan kontrollü kurtarma testi yedeğin beklenen cüzdanı oluşturduğunu doğrulayabilir.
Test sırasında seed bilinmeyen site veya yazılıma girilmemelidir. Üreticinin doğrulanmış prosedürü kullanılmalı ve büyük transfer öncesi alıcı adresi kontrol edilmelidir.
Miras Planı Seed Güvenliğinin Parçasıdır
Sahibi vefat ettiğinde veya ehliyetini kaybettiğinde aile cüzdana erişemiyorsa teknik olarak çok iyi korunmuş seed ekonomik olarak başarısız olabilir. Mirasçıya gelecekte erişim sağlayacak bilgi ile bugün gizliliği korumak arasında denge kurulmalıdır.
Güvenli yazılı talimat, profesyonel saklama, hukuki düzenleme veya multisig gibi yöntemler düşünülebilir. Uygun yapı tutara, teknik bilgiye ve hukuka bağlıdır.
Seed’i Ev Yapımı Yöntemle Bölmek Sahte Güvenlik Yaratabilir
Kelimelerin yarısını bir yere, yarısını başka yere koymak güvenli görünebilir; fakat parçaların birinin kaybolma veya yanlış kopyalanma riskini artırır. Ayrıca kullanıcı sandığı kadar güçlü kriptografik koruma sağlamaz.
Eşikli kurtarma veya çoklu imza gerekiyorsa test edilmemiş ev yapımı yöntem yerine standardı anlaşılmış bir çözüm kullanmak daha güvenlidir.
Seed Değiştirmek Kelimeleri Düzenlemek Değildir
Deterministik cüzdanda seed normal şifre gibi değiştirilmez. Yeni seed isteniyorsa yeni gizli bilgiyle yeni cüzdan oluşturulur ve varlıklar yeni adreslere transfer edilir.
Geçişte önce yeni yedeğin doğruluğu kontrol edilmeli, küçük test transferi yapılmalı, sonra ana tutar taşınmalıdır.
Pratik Seed Phrase Kontrol Listesi
Cüzdanı güvenilir yazılım veya donanımla oluşturun. Kelimeleri ve sırasını çevrim dışı kaydedin. Kamera, bulut, e-posta ve beklenmedik destek mesajlarından uzak tutun. Yedeği hırsızlık ve fiziksel hasara karşı koruyun. Passphrase kullanılıyorsa bunu unutmayacak ama açığa da çıkarmayacak plan kurun. Büyük tutar öncesi kurtarmayı güvenli biçimde test edin ve uygun miras düzeni oluşturun.
Temel ilke nettir: seed’i yeniden oluşturabilen kişi çoğu durumda varlıkların kontrolünü de yeniden oluşturabilir.
Seed Phrase’in Fotoğrafını Çekmek Neden Risklidir?
Telefon kamerası yalnız cihazda kalan basit bir görüntü gibi düşünülebilir; ancak fotoğraflar otomatik bulut yedeğine, galeri senkronizasyonuna veya başka uygulamaların erişebildiği depolama alanına kopyalanabilir. Cihaz ele geçirilirse saldırgan yıllar önce çekilmiş görüntüye ulaşabilir.
Bu nedenle kurtarma kelimeleri için dijital fotoğraf yerine güvenli fiziksel kayıt tercih edilir. Özellikle ana cüzdanın seed’i günlük kullanılan telefonla temas etmemelidir.
Adres Kontrolü Seed Güvenliğini Tamamlar
Seed çok iyi korunmuş olsa bile kullanıcı yanlış adrese veya yanlış ağa transfer yaparak varlık kaybedebilir. Cüzdan güvenliği yalnız gizli kelimeleri saklamak değil, işlemi doğru hedefe göndermek ve doğru imzayı vermektir.
Büyük transferlerde hedef adresi cihaz ekranından kontrol etmek ve küçük test transferi yapmak, seed güvenliğinin yanında operasyonel hatayı da azaltır.
Watch-Only Cüzdan Gizliyi Açmadan Takip Sağlayabilir
Bazı cüzdanlarda yalnız açık anahtar veya adres bilgisiyle bakiyeyi izleyen watch-only yapı kurulabilir. Böylece günlük bakiye kontrolü için seed veya private key internete bağlı cihazda tutulmak zorunda kalmaz.
Watch-only cüzdan işlem imzalayamaz; bu nedenle izleme ile harcama yetkisini birbirinden ayırmak isteyen kullanıcı için faydalı olabilir.
Yedeklerin Periyodik Durumunu Kontrol Edin
Yıllar önce güvenli görünen kâğıt yedek nem, yangın, taşınma veya yanlış depolama nedeniyle okunamaz hale gelebilir. Metal yedek de fiziksel olarak kaybolabilir veya yeri unutulabilir.
Seed’i gereksiz yere açığa çıkarmadan yedeğin varlığını, okunabilirliğini ve miras planıyla uyumunu belirli aralıklarla kontrol etmek uzun vadeli güvenliğin parçasıdır.
Büyük Tutar İçin Tek Cihaz Bağımlılığını Azaltın
Tek telefon veya tek bilgisayar bozulduğunda seed yedeği sayesinde cüzdan geri kurulabilir. Buna karşılık seed de aynı cihazda dijital dosya olarak tutuluyorsa cihaz kaybı hem günlük erişimi hem yedeği aynı anda yok edebilir.
Güvenlik tasarımı cihaz arızası, ev yangını, hırsızlık ve sahibin erişememesi gibi farklı senaryoları ayrı ayrı düşünmelidir.
Seed Phrase ile Şifre Yöneticisini Karıştırmayın
Şifre yöneticileri günlük internet hesapları için güçlü araçlardır; ancak seed phrase’in bir bulut tabanlı şifre yöneticisine kaydedilmesi farklı bir risk kararıdır. Şifre yöneticisi hesabı ele geçirilirse saldırgan sıradan parolaların yanında cüzdanın ana kurtarma bilgisini de elde edebilir.
Önemli kripto varlığında seed’in çevrim dışı yedeklenmesi, çevrim içi hesap güvenliğinden ayrı bir güvenlik katmanı oluşturur. Kullanıcı kendi risk modeline göre karar vermelidir; varsayılan kolaylık otomatik olarak en güvenli seçenek değildir.
Seed Phrase’i Kimseyle Paylaşmamanın Nedeni Teknik Yetkidir
Bir banka şifresi ele geçirilirse banka bazı durumlarda işlemi durdurabilir veya hesabı geri kazanabilir. Seed phrase ele geçirildiğinde saldırgan zincir üzerinde geçerli imzayı üretebilir ve işlemler geri döndürülemez olabilir. Merkezi bir kurumun işlemi iptal etmesi çoğu ağda mümkün değildir.
Bu nedenle ‘destek için bir kez paylaşmak’ bile kabul edilebilir risk değildir. Seed’in gizliliği, cüzdan sahipliğinin temelidir.