Nilalaman
- Linawin muna: ano ba talaga ang pag-aari mo
- Ang seed phrase ang buhay, ganito ingatan
- Paano paghatiin ang hot at cold wallet
- Regular na i-check at i-revoke ang lumang approval
- Tukuyin ang pekeng support, site, at app
- I-verify ang address tuwing maglilipat
- Isang checklist na pwedeng sundan
- Mga Madalas Itanong
Linawin muna: ano ba talaga ang pag-aari mo
Akala ng marami, kapag bumili ka ng NFT eh «napunta ang larawan sa wallet ko». Ang pag-iisip na ito ang dahilan kaya nailalagay sa maling bagay ang pagod mo.
Ganito ang totoo: ang ownership record ng NFT na binili mo ay nakasulat sa blockchain, may address na humahawak ng isang token ID sa isang contract, at ang ledger on-chain ang nagsasabi nito, pampubliko at ma-ve-verify. Ang larawan mismo ay madalas naka-imbak off-chain (sa IPFS o server ng proyekto). Ang tunay na pinatutunayan ng NFT ay «sino ang may-ari ng numerong ito».
Ano naman ang wallet app mo? Ito ang susi. Iniimbak nito ang private key na kumokontrol sa address mo, at ang private key ay nakaugnay sa isang seed phrase (kadalasan 12 o 24 na salitang Ingles). Sa madaling salita:
Kaya ang «pag-iimbak ng NFT» ay tungkol talaga sa pag-iingat ng seed phrase at pamamahala ng pirma, hindi tungkol sa isang software o larawan. Susundan natin ang prayoridad na ito sa baba.
Ang seed phrase ang buhay, ganito ingatan
Ang seed phrase (o recovery phrase) ang ubod ng buong seguridad. Sino mang humawak nito ay para nang nagmamay-ari ng lahat ng asset sa wallet. Iilan lang ang patakaran, pero walang puwedeng labagin.
- Isulat offline, itago sa hiwalay na lugar. Sa paggawa ng wallet, isulat ang mga salita sa papel, o ukitin sa fireproof at waterproof na metal, tapos ilagay sa ligtas na lugar (mas mabuti ang dalawang kopya sa dalawang lugar). Huwag isang kopya lang, at huwag lahat sa iisang drawer.
- Huwag i-digitize kailanman. Huwag i-screenshot, i-photo, itago sa gallery o cloud, ipadala sa Messenger / email / notes, o ilagay sa cloud ng password manager. Basta pumasok ito sa connected na device, may panganib na manakaw.
- Huwag i-type sa kahit anong site o chat box. Sa wallet software lang, kapag «nagre-restore» ka ng sariling wallet, kailangan mong i-type ang seed phrase. Anumang webpage, support, o pop-up na humihingi nitong i-type para «i-verify», «i-sync», «i-unlock», o «mag-claim ng reward», walang exception, scam iyon.
- Huwag pakitaan ng iba habang nagsusulat. Pati camera at lumilingon sa likod mo. Iwasan din itong mabunyag sa screen recording o live stream.
Sabay na rin natin banggitin ang private key: parehong pinakamataas na kapangyarihan ang private key at seed phrase, at pareho ang prinsipyo, huwag ibigay kaninuman, huwag i-type sa kahit anong site.
Paano paghatiin ang hot at cold wallet
Hindi lahat ng asset ay kailangang itago sa iisang paraan. Ang paghahati ayon sa «gaano kadalas ginagamit at gaano kahalaga» ay praktikal na estratehiya na kayang gawin ng ordinaryong tao.
| Uri | Ano ito | Bagay sa | Pangunahing panganib |
|---|---|---|---|
| Hot wallet | Naka-install sa phone / browser, palaging online (hal. MetaMask, Rabby) | Pang-araw-araw, maliit, madalas i-mint at i-trade | Online ang device, mas mataas ang panganib ng malware, phishing signature, maling approval |
| Cold / hardware wallet | Naihihiwalay ang private key sa offline na maliit na device; sa device gawa ang pirma | Long-term, mahalaga, hindi madalas galawin | Napipigilan ang pagnanakaw ng key, pero hindi ang sarili mong masamang pirma; kailangang opisyal ang pinagbilhan |
Karaniwang gawi ang paggamit ng dalawa (o higit pa) na wallet na may tungkulin:
- «Pang-araw-araw» (hot wallet): maliit na asset lang na handa kang isugal, espesyal sa pagkonekta sa iba't ibang site, paglahok sa events, pagsubok ng bagong proyekto. Kung matamaan man, limitado ang lugi.
- «Vault» (cold / hardware wallet): dito ang tunay na mahalaga at pang-long-term. Halos hindi ito kusang kumokonekta sa hindi pamilyar na site, lumalabas lang kapag may ililipat.
Sa ganitong paraan, kahit ma-trap ang pang-araw-araw mo sa isang masamang approval, mas maliit ang tsansang maapektuhan ang vault dahil bihira itong pumirma at may hardware isolation pa. Para sa pagpili ng wallet at pagkakaiba ng custodial at self-custody, basahin ang paano pumili ng unang wallet.
Regular na i-check at i-revoke ang lumang approval
Habang tumatagal ka sa mundo ng NFT, makakapag-sign ka ng approve (approval) sa maraming marketplace at DApp. Ang ibig sabihin ng approval ay «pinapayagan ang isang contract na gamitin ang isang asset sa wallet ko», kailangan ito bago mag-list ng NFT o mag-swap sa exchange. Ang problema, ang mga approval na ito ay hindi kusang nag-e-expire, at marami ang default na «unlimited».
Ibig sabihin: ang contract na in-approve mo kalahating taon na ang nakalipas para magbenta ng isang NFT ay maaaring hawak pa rin ngayon ang pahintulot na galawin ang asset mo. Kung may butas ang contract na iyon, o phishing contract pala iyon, nakasabit pa rin sa iyo ang panganib. Kaya magkaroon ng ugali:
- Sa pana-panahon, i-check ang approval. Gamitin ang token approval page ng block explorer (hal. Etherscan), o tool tulad ng revoke.cash, ikonekta ang wallet at tingnan kung anong contract ang inaprubahan ng address.
- I-revoke ang di-na-kailangan, hindi kilala, at unlimited na approval. Bawat revoke ay on-chain na transaksyon na may kaunting gas, pero ang maliit na gastos na iyon ang isinasara sa butas na «may iba pang makakagalaw sa asset mo».
- I-check bago at pagkatapos ng malalaking operasyon. Lalo na pagkatapos ng unang listing o unang interaction sa bagong platform, balikan at kumpirmahin kung ano nga ba ang in-approve mo.
Ang pag-revoke ng approval ay isa sa iilang aksyong pang-seguridad na «may remedyo pa pagkatapos», huwag tamarin. Ang kasama nitong ugali: basahin ang nilalaman bago pumirma. Tumingin ng ilang segundo kung ano ang gagawin ng pirma, at kapag hindi maintindihan, huwag pumirma.
Tukuyin ang pekeng support, site, at app
Kahit mahigpit kang nag-iingat ng seed phrase at masinop sa approval, madalas ang huling depensa ay natatalo sa «nalinlang kang kusang kumilos». Pinakapaboritong taktika ng scammer ang pagpapanggap na mapagkakatiwalaang tao.
- Pekeng support. Ang lehitimong wallet at marketplace ay halos walang «kusang nagpa-private message» na support. Kapag nagpost ka ng tanong sa community at may nag-DM sa iyo nang ilang minuto para «tutulungan ka», halos lahat ay scammer. Sa opisyal na support page o ticket lang ang totoong tulong. Walang tunay na support ang hihingi ng seed phrase o private key mo.
- Pekeng official site. Ang phishing site ay gumagawa ng domain na isa o dalawang letra lang ang pagkakaiba, o bumibili ng ad para mauna sa search results. Magkaroon ng ugali: i-bookmark ang madalas mong site, at laging pumasok mula sa bookmark; huwag mula sa search ad, DM link, o link sa comment.
- Pekeng app / extension. Mag-download ng wallet sa opisyal na website o opisyal na app store lang, at i-verify ang pangalan ng developer at bilang ng download. Ang peke't kopyang wallet app at extension ay tahimik na nagu-upload ng seed phrase mo habang gumagawa o nag-i-import ka.
- Pekeng emergency notice. «May panganib ang wallet mo, i-migrate agad dito», «limited offer, mag-claim na», layunin ng ganitong takot o gahaman na taktika na mawalan ka ng panahong mag-isip. Mas pinapamadali ka, mas dapat kang huminto.
I-verify ang address tuwing maglilipat
Ang paglilipat ng NFT o coin mula sa isang wallet patungo sa iba ay ang pinakamadaling pagkamalian at pinaka-hindi-mababawi na hakbang sa pag-iimbak. Isang mali sa address, mapupunta sa lugar na walang makakabawi. Dalawang bitag ang iwasan:
- Maling sipi o naiiba ang tingin. Mahabang string ang address, mahirap suriin kada karakter. Madalas tinitingnan lang ng tao ang ilang unahan at hulihan, baka napalitan na pala ang gitna nang hindi napapansin.
- Napalitang clipboard. May malware na espesyal na nagmo-monitor ng clipboard: kinopya mo ang tamang address, pero tahimik na napalitan ng address ng scammer pagkatapos i-paste. Espesyal na binibiktima nito ang mga «copy-paste lang».
Ligtas na gawi: pagkatapos i-paste, suriin ang address bahagi-bahagi mula simula hanggang dulo, kahit man lang ang unang 6 na karakter, huling 6, at ilang segment sa gitna, na tugma sa gusto mong padalhan. Sa unang beses na maglilipat sa isang address, magpadala muna ng napakaliit na test, kumpirmahing nakarating, saka ilipat ang malaki. Para mas ligtas, ilagay ang address sa verification tool para i-check ang format.
Ang Ethereum Address Checker ng site ay para mismo dito: i-paste ang address na lilipatan, i-verify muna bago kumilos. Hindi ito aabot ng isang minuto, pero napipigilan nito ang maraming hindi-na-mababawing lugi.
Isang checklist na pwedeng sundan
Pinatipil sa isang listahan ang nasa itaas, sundan lang ito sa araw-araw:
| Aksyon | Nagawa na? |
|---|---|
| Seed phrase isinulat offline, dalawang kopya sa hiwalay na lugar, hindi kailanman ni-digitize | Oo / Hindi |
| Kailanman ay hindi i-type ang seed phrase sa kahit anong site, chat box, o support window | Oo / Hindi |
| Mahalagang asset sa cold / hardware wallet, hiwalay na hot wallet sa pang-araw-araw | Oo / Hindi |
| Hardware wallet binili sa opisyal na channel, hindi second-hand o may preset na seed phrase | Oo / Hindi |
| Sa pana-panahon, i-check at i-revoke ang luma't kahina-hinalang approval | Oo / Hindi |
| Tuwing may signature pop-up, basahin muna bago pumirma; kung di-maintindihan, huwag pumirma | Oo / Hindi |
| I-bookmark ang madalas na site, pumasok mula sa bookmark, huwag pindutin ang ad / DM link | Oo / Hindi |
| I-verify ang address bahagi-bahagi bago maglipat; mag-test muna ng maliit sa malaking halaga | Oo / Hindi |
Mga Madalas Itanong
Saan ba talaga naka-imbak ang NFT ko? Nasa wallet app ba?
Hindi. Ang ownership record ng NFT ay nasa blockchain, ang isang address doon ang nagsasabi kung sino ang may-ari. Hindi «nakalagay» sa wallet app ng phone o browser mo ang NFT; ang nasa app ay ang susi (private key, na nakaugnay sa seed phrase). Magpalit man ng device o software, basta i-import mo ang parehong seed phrase, kontrolado mo pa rin ang parehong address. Kaya ang dapat protektahan ay ang seed phrase, hindi ang app.
Ligtas bang i-screenshot ang seed phrase at itago sa gallery?
Hindi ligtas. Nagsi-sync ang gallery sa cloud, pwedeng ma-malware ang phone, mahiram, o mawala, at ang seed phrase sa screenshot ay parang nakalantad na susi sa online na kapaligiran. Ang tama ay isulat offline sa papel (o ukitin sa metal) at itago sa hiwalay na lugar. Huwag i-screenshot, i-photo, ipadala sa chat, o i-type sa kahit anong website o customer-service window. Sino mang humihingi nito ay scammer.
Kapag may hardware wallet ako, sigurado na bang ligtas?
Naihihiwalay ng hardware wallet ang private key sa offline device, kaya napipigilan ang pagnanakaw ng key sa pamamagitan ng malware, malaking proteksyon iyon. Pero hindi nito mapipigilan ang sarili mong maling pagpirma: kung pumirma ka ng masamang approval sa phishing site gamit ang hardware wallet, mananakaw pa rin ang NFT. Kaya isama ang magandang ugali: bumili lang sa opisyal, basahin bago pumirma, regular na mag-revoke, at ihiwalay ang mahalaga sa pang-araw-araw na wallet.
Mawawala ba ang NFT kapag nawala ang phone ko?
Hindi, basta ligtas ang seed phrase mo. Ang phone at wallet app ay parang susi lang sa pinto, kapag nawala, bumili ng bagong device, i-install ang wallet, at i-import ang seed phrase para mabawi ang access sa parehong address at asset. Kaya nga napakahalaga ng maingat na pag-iimbak ng seed phrase offline: iyon, hindi ang device, ang tunay na buhay ng asset mo.
Mga Sanggunian
Ang mga konsepto ng seguridad sa artikulong ito ay maaari mong i-verify mismo sa mga pahina sa baba:
- ethereum.org/security, opisyal na gabay sa wallet security at iwas-phishing
- Etherscan token approval checker, tingnan at i-revoke ang approval ng isang address
- revoke.cash, karaniwang tool para tingnan at i-revoke ang approval ng wallet
- Ledger official site, opisyal na page ng manufacturer ng hardware wallet (bilang reperensiya lang ng channel)
- MetaMask Support, opisyal na paliwanag sa seed phrase at signature security
- Etherscan, gamitin ang address para suriin ang on-chain transfer at contract interaction