Zero-day (podatność dnia zerowego, ang. zero-day vulnerability) to luka w oprogramowaniu lub sprzęcie, o której producent nie wie albo na którą nie wydał jeszcze poprawki. Nazwa oznacza, że twórca miał „zero dni” na reakcję, zanim luka zaczęła być wykorzystywana. Exploit zero-day to kod wykorzystujący taką lukę, a atak zero-day – jego użycie w praktyce.
Cykl życia podatności
| Etap | Co się dzieje |
|---|---|
| Odkrycie | lukę znajduje badacz bezpieczeństwa albo przestępca |
| Wykorzystanie | jeśli trafi w złe ręce, powstaje exploit używany w atakach |
| Ujawnienie | producent dowiaduje się o luce – od badacza, z programu bug bounty lub z analizy ataków |
| Poprawka | producent wydaje aktualizację; od tej chwili luka jest znana publicznie |
| N-day | znana, załatana luka nadal działa na urządzeniach bez aktualizacji |
Najcenniejsze są podatności typu zero-click, które nie wymagają żadnej akcji ofiary – np. wystarczy odebrać wiadomość. Takie luki wykorzystywało m.in. oprogramowanie szpiegujące Pegasus w atakach na telefony dziennikarzy i polityków. Są drogie i używane głównie w atakach celowanych, a nie masowych.
Czy zero-day grozi zwykłemu inwestorowi
Bezpośrednio – rzadko. Exploity zero-day są kosztowne i zwykle używa się ich przeciw wybranym celom: firmom, instytucjom, osobom publicznym czy dużym posiadaczom kryptowalut. Znacznie częstsze zagrożenia dla inwestora indywidualnego to znane, niezałatane luki (n-day), inżynieria społeczna i złośliwe oprogramowanie z pirackich źródeł. Dlatego najważniejsza praktyka to szybkie aktualizacje – zamykają okno, w którym znana luka działa.
Przykład
Załóżmy, że producent przeglądarki wydaje poprawkę krytycznej luki i informuje, że była wykorzystywana w atakach. Aktualizujesz od razu – ryzyko z tej luki spada praktycznie do zera. Znajomy odkłada restart przeglądarki o 30 dni. Przez ten czas każda złośliwa strona może użyć opublikowanej już podatności. Jeśli trzyma w portfelu w przeglądarce 20 000 zł, przejęcie przeglądarki może oznaczać utratę całej kwoty. Gdy Twoje środki leżą na portfelu sprzętowym, nawet po przejęciu przeglądarki klucz prywatny pozostaje w urządzeniu, a każdą transakcję trzeba potwierdzić fizycznie.
Jak ograniczać ryzyko
- Aktualizacje automatyczne systemu, przeglądarki, portfeli i firmware portfela sprzętowego (z oficjalnej aplikacji producenta).
- Mniejsza powierzchnia ataku – mniej programów i rozszerzeń, wyłączone niepotrzebne usługi, żadnych przypadkowych dodatków.
- Osobne urządzenie do krypto – laptop lub telefon używany tylko do finansów.
- Portfel sprzętowy – izoluje klucz od komputera; zawsze sprawdzaj dane transakcji na jego ekranie.
- Tryby ochrony – np. tryb blokady w iPhonie dla osób narażonych na ataki celowane.
- Podział środków – kompromitacja jednego urządzenia nie powinna oznaczać utraty wszystkiego.
Zero-day a bezpieczeństwo portfeli i giełd
Podatności zdarzają się także w portfelach programowych, rozszerzeniach i samych portfelach sprzętowych. Producenci wydają wtedy aktualizacje firmware i komunikaty bezpieczeństwa. Śledź oficjalne kanały producenta swojego portfela i aktualizuj go wyłącznie przez oficjalną aplikację – fałszywe „pilne aktualizacje” rozsyłane e-mailem to popularny pretekst oszustów. Żadna prawdziwa aktualizacja nie wymaga wpisania frazy seed na komputerze.
Najczęstsze błędy
- Odkładanie aktualizacji „na później”.
- Instalowanie wielu rozszerzeń przeglądarki bez potrzeby.
- Korzystanie ze starego telefonu, który nie dostaje już poprawek bezpieczeństwa.
- Rozgłaszanie wielkości swojego portfela, co czyni z Ciebie cel ataków celowanych.
Perspektywa tradera
Luki zero-day dotyczą też giełd, protokołów DeFi i smart kontraktów – nieznany błąd w kodzie może zostać wykorzystany do kradzieży środków z całej platformy. Tego ryzyka nie wyeliminujesz, ale możesz je rozłożyć: nie trzymaj całego kapitału na jednej giełdzie ani w jednym protokole i traktuj każdą platformę jak kontrahenta, który może zawieść. To ta sama logika co w wielkości pozycji – żadne pojedyncze zdarzenie nie powinno zagrażać całemu portfelowi.
Najczęstsze pytania
Skąd nazwa zero-day?
Od tego, że producent miał zero dni na przygotowanie poprawki, zanim luka zaczęła być wykorzystywana.
Czy antywirus chroni przed zero-day?
Nie w pełni, bo nie zna jeszcze exploitu. Część programów wykrywa podejrzane zachowanie, ale lepiej ograniczać powierzchnię ataku i szybko aktualizować.
Czy portfel sprzętowy chroni przed zero-day w komputerze?
W dużym stopniu, bo klucz prywatny nie opuszcza urządzenia. Nadal musisz sprawdzać na jego ekranie, co podpisujesz.
Czym różni się zero-day od n-day?
Zero-day nie ma poprawki. N-day to luka już znana i załatana, ale wciąż groźna dla urządzeń bez aktualizacji.
Tekst ma charakter edukacyjny i nie stanowi rekomendacji inwestycyjnej.
