Midt på dagen den 13. mai var det tokens verdt $45 000 i MetaMask-krypto-lommebøkene mine.

En time senere var alt borte.

Satt ved skrivebordet mitt i hjemmet mitt i Lagos, Nigeria, stirret jeg tomt på dataskjermen min, og slet med å registrere virkningen av det som hadde skjedd.

På flere åpne nettleserfaner på datamaskinen min kunne jeg se flere utgående kryptotransaksjoner fra lommeboken min til ukjente adresser.

Jeg var forvirret.

Jeg så på tidsstemplene som ble vist på flere av transaksjonene, og jeg visste at jeg ikke kunne ha startet dem.

Det er fordi jeg hadde vært opptatt med en annen datamaskin i tre timer.

Sjokket mitt ga snart vei til forferdelse da jeg skjønte at jeg på en eller annen måte hadde blitt hacket. Men hvordan?

Smerte og skyldfølelse

Jeg har vært kryptoreporter i syv år, og på den tiden har jeg dekket mange tilfeller av tokeneiere som har mistet pengene sine til hackere.

Nå hadde det samme skjedd meg.

Jeg kjente smerte og skyldfølelse da jeg husket at hoveddelen av midlene ikke tilhørte meg, men familien min.

De begynte å samle disse kryptotokenene – Ether, Tethers USDT stablecoin og Jasmy, en altcoin – i 2020 etter at Covid-19-nedstengingene utløste økonomisk volatilitet.

Som beboerekspert i familien hadde det falt på meg å ta vare på eiendelene deres, for å holde dem trygge. Jeg var deres kryptovakt og rekorden min var feilfri.

Inntil nå.

Så smertefullt som tyveriet var, var det ingenting sammenlignet med kvalen jeg følte da jeg informerte familien min om hva som hadde skjedd.

Sorgen jeg så etset i ansiktene deres minnet meg om min avdøde fars bortgang i 2017. Min prøvelse kaster åpenheten til offentlige blokkjeder i et annet lys.

Med noen få datamaskinstrøk kan jeg se min stjålne krypto i en annens lommebok, og likevel kan jeg ikke gjenopprette eiendelene mine. Det er en makaber påminnelse om prøvelsen min.

Realiteten er at en lignende skjebne har rammet mange kryptobrukere, alt fra profesjonelle til nybegynnere.

«Det er lett å miste kryptoen din hvis du gjør en feil. I mitt tilfelle startet det hele med et spill.’

Milliardær Mark Cuban tapte 870 000 dollar til en hacker i fjor etter at han sa at han lastet ned en MetaMask-lommebok «med noe dritt i».

I 2023 tapte kryptoinvestorer 1,7 milliarder dollar til tyver, ifølge Chainalysis, blokkjedeetterforskningsselskapet.

Det er lett å miste kryptoen din hvis du gjør en feil, for eksempel å laste ned ødelagt programvare som avslører lommebokdetaljer.

Noen ganger kan du miste pengene dine hvis en våken hacker forgifter lommebokadressen din ved å lage en falsk lommebok som samsvarer nøye med offerets.

I mitt tilfelle startet det hele med et spill.

Keylogger

Jeg hadde lovet å hjelpe en yngre slektning av meg med å laste ned et spill kalt «Dave The Driver».

Han ble utålmodig og prøvde å gjøre det selv. Problemet var at han brukte datamaskinen med nettleserlommeboken som holdt familiens kryptoaktiva.

Han lastet ned en versjon av spillet innebygd med skadelig programvare, og det infiserte umiddelbart den bærbare datamaskinen min.

Skadevaren installerte sannsynligvis en keylogger – et program som registrerer tastetrykk – og avslørte MetaMask-lommebokdetaljer, noe som gjorde det mulig for hackeren å sifon ut kryptoen.

Mange nettlommebøker, inkludert MetaMask, bruker ikke påviste sikkerhetstiltak for å forhindre tyveri, for eksempel svindelvarsler og tofaktorautentisering.

Hvis dette var en konto i banken min, ville jeg ha mottatt et svindelvarsel så snart den første transaksjonen ble igangsatt.

Banken ville ha satt transaksjonen på pause og gitt meg nok tid til å bekrefte om jeg faktisk hadde startet pengeoverføringen.

Praktisk talt ingen slike forebyggende funksjoner finnes for krypto-lommebøker.

Innsatte midler trygt

Faktisk den ene advarselen jeg mottok fra en sentralisert utveksling der jeg holdt noen tokens. Hackeren prøvde tilsynelatende å få tilgang til eiendelene mine, og børsen ba dem om en tofaktorautentiseringskode.

Det forsøket var mislykket, og jeg klarte å holde på disse eiendelene, men det var et lite beløp. Likevel var det en situasjon der tofaktorautentisering, eller 2FA, fungerte bra.

Hackeren prøvde også å stjele midler fra andre lommebøker jeg brukte som hadde satset krypto, men de lyktes ikke.

“Med mindre hackeren glemmer det, ville jeg vært i et kappløp med tyven for å sikre disse eiendelene i en ny lommebok.”

Det er fordi blokkjeder som Cosmos vanligvis krever at brukere venter 14 til 21 dager for å ta ut eiendeler som er satset etter at de er uinnsatt.

Hackeren startet unstaking-prosessen, men klarte ikke å overføre tokens til lommeboken. Jeg har siden gjenopprettet disse kryptotokenene, men det løser neppe problemet.

(Staking er en prosess for å tillate at tokens dine brukes til å validere transaksjoner på et blokkjedenettverk.)

Med mindre hackeren glemmer eiendelene mine, vil jeg være i et kappløp med tyven for å sikre de satsede eiendelene i en ny lommebok når de blir tilgjengelige for uttak, men det er et problem for en annen dag.

Når det gjelder det umiddelbare nedfallet, er jeg takknemlig for at familien min ikke klandret meg eller min unge slektning for å ha avslørt eiendelene deres.

Etter å ha reflektert over historiene jeg hadde skrevet om lignende saker, innså jeg at jeg ikke hadde tenkt mye på familiene til folk som hadde mistet kryptomidler til hackere.

Fokuset mitt hadde vært å forklare hvordan hackene skjedde, hvor midlene ble av og mulig gjenopprettingstiltak.

Jeg kan se eiendelene

Det som var spesielt frustrerende var det faktum at jeg fortsatt kan se mine stjålne eiendeler tre uker etter forbrytelsen.

Hovedtyngden av den stjålne kryptoen ligger i de to adressene som tilhører hackeren. De kan sees her og her.

I alle fall kontaktet jeg et blokkjede-sikkerhetsfirma for å prøve å blokkere hackeren fra å kunne bytte den stjålne kryptoen mot kontanter via en sentralisert børs.

De fortalte meg at det ville koste $2000 for dem å prøve å blokkere hackerens lommebokadresser.

Gjenoppretting av stjålet krypto er vanligvis en lang prosess som involverer rettshåndhevelse og samarbeid med kryptobørser.

Familiemedlemmene mine bestemte at det var bedre å absorbere tapet.

De var ikke begeistret over utsiktene til å bruke mer penger på jakten på hackeren når sjansene for å bli frisk var små til ingen.

Trenger bedre sikringer

Jeg har hatt tid til å reflektere over det som skjedde, og det er lærdom å lære av min erfaring.

Først, hold datamaskinene dine som holder verdifulle kryptolommebøker unna små barn!

Mer seriøst, kryptolommebøker trenger bedre beskyttelse.

Hvis bredbasert kryptoadopsjon er målet, må trygg lagring av disse digitale eiendelene bli enklere, spesielt for de som foretrekker selvforvaring.

Selvforvaring kommer med en forventning om at brukeren er ansvarlig for å holde sine eiendeler trygge.

Men brukerne trenger mer hjelp – kanskje i form av sanntidsvarsler og tofaktorautentisering.

Det finnes smarte kontraktsløsninger som Safes multisignaturlommebok der det kreves mer enn én underskriver for å fullføre en transaksjon.

Mens multi-sig-lommebøker bidrar til å forbedre sikkerheten, må de enkelte signere beskytte nøklene sine – igjen, med selvforvaring, er det brukeren som har ansvaret for å sikre sikkerheten til lommeboken.

Multi-sig til unnsetning?

Forutsatt at jeg hadde satt opp en multi-sig-ordning med de kompromitterte lommebøkene, ville hackeren fortsatt ha vært i stand til å stjele midlene. De ville ha brukt hver kompromittert adresse til å signere transaksjonene som trengs for å flytte midlene.

Den prosessen ville ha gått tregere, men de ville ha sluppet unna med familiens penger.

Det er imidlertid dårlig praksis å sette opp en multi-sig kontrollert av én enhet.

Ideelt sett ville hver underskriver vært et annet familiemedlem hvis lommebøker var på separate enheter.

Og det er det vi har gjort.

Noen kan peke på feilen med å holde midlene i en nettlommebok som er utsatt for hacking. Eller si at tokens burde vært trygt innesluttet i en offline lommebok, for eksempel typen som tilbys av maskinvarelommebokprodusenter.

Det var planen, selv om jeg var treg med å flytte.

Og nå har jeg blitt rammet av en leksjon på $45 000 for sløvheten min.

Osato Avan-Nomayo er vår Nigeria-baserte DeFi-korrespondent. Han dekker DeFi og teknologi. For å dele tips eller informasjon om historier, vennligst kontakt ham på [email protected].