Не подключайте ценный кошелёк к случайным сайтам. Обычное подключение чаще раскрывает адрес, а не право расходования, но сайт сразу может показать обманный запрос подписи или approve и изучить ваши активы для целевой атаки.
Главная идея#
Подключение — не финальное решение, а начало цепочки авторизации. Опасным шагом может стать следующий Permit, approve или транзакция. Проверяйте сайт, актив, сеть и полномочия.
Обычное подключение раскрывает сайту публичные адреса и позволяет связать их с браузером, временем посещения и другими метаданными. Оно не даёт права списания само по себе, однако сразу после подключения сайт может предложить разрешение на токены, подпись ордера или транзакцию с иным эффектом, чем обещает кнопка.
Порядок действий#
- Сначала проверьте домен и репутацию приложения. Откройте точный URL из официальной документации или проверенного профиля, а не из рекламы или личного сообщения. Сверьте написание, поддомен, сертификат и историю проекта независимо.
- Используйте песочницу с ограниченным балансом. Создайте отдельную сид-фразу и внесите только сумму, необходимую для задачи. Возможная ошибка не должна затронуть накопления, ценные NFT или постоянные DeFi-позиции.
- Читайте каждый последующий запрос кошелька. Проверяйте сеть, адрес контракта, актив, сумму, срок и фактический эффект. Подпись без комиссии тоже может выдавать право на последующее списание.
- Отклоняйте действия, не связанные с заявленной задачей. Не подписывайте «верификацию», если кошелёк не показывает понятное содержание. Запрос доступа к постороннему токену или безлимитный approve — основание остановиться.
- Отключите сайт локально и отдельно проверьте разрешения в блокчейне. Это разные действия: удаление сессии не отменяет уже выданный allowance или Permit. Проверьте каждую активную сеть через надёжный обозреватель.
Опасные ошибки#
- Подключать хранилище ради проверки права на получение. Так раскрываются ценные активы и возникает риск подписи от аккаунта, который вообще не нужен для проверки.
- Подписывать сообщение, описанное лишь как «проверка». Название кнопки не определяет реальное действие; за ней может скрываться Permit, ордер или разрешение на перевод.
- Считать отключение отзывом allowance. Разрешение остаётся в контракте до отдельной транзакции отзыва либо предусмотренного протоколом истечения.
- Доверять сайту из-за логотипа в кошельке. Метаданные и фирменное оформление можно скопировать, поэтому домен проверяют отдельно.
Когда остановиться#
Если польза сайта неясна, изучите его без подключения или введите публичный адрес в обозревателе только для чтения. Подключение должно иметь понятную цель.
Не продолжайте, если не можете объяснить, какие полномочия выдаёт запрос и как их отменить. Законная возможность обычно допускает повторную проверку, а вредоносная подпись может привести к необратимой потере.
Если вы уже подключились, но ничего не подписали, закройте страницу, удалите локальное подключение и проверьте журнал запросов. Если подпись или транзакция всё же была подтверждена, определите её тип: простое сообщение, Permit, approve и ончейн-перевод требуют разных ответных действий. Не используйте неизвестный «инструмент очистки», присланный тем же сайтом; откройте обозреватель или сервис отзыва из независимого официального источника.
Как проверить результат#
Не ориентируйтесь только на сообщения «подключено» или «отключено». После завершения проверьте состояние сессии в кошельке и состояние разрешений непосредственно в блокчейне.
| Контрольная точка | Доказательство | Условие остановки |
|---|---|---|
| Проверить домен и репутацию | URL совпадает с документацией | Требуется подключить хранилище |
| Использовать песочницу | Ограниченный баланс и отдельная фраза | Подпись описана только как проверка |
| Читать каждый запрос | Расшифрованное действие | Отключение выдают за отзыв allowance |
Храните нужные хеши, адреса контрактов и датированные записи, но исключайте сид-фразы, приватные ключи, пароли и коды аутентификации. Если сайт оказался подозрительным, сохраните полный URL и время обращения без повторного подключения.
Часто задаваемые вопросы#
Может ли сайт украсть средства сразу после подключения?
Стандартное подключение само не переводит деньги, но скомпрометированный кошелёк или последующее разрешение могут это сделать.
Делает ли burner-кошелёк любой сайт безопасным?
Нет. Он ограничивает финансовый ущерб, но не малварь, компрометацию устройства и утечку приватности.
Как убрать подключение?
Удалите сайт в настройках подключений кошелька, затем отдельно проверьте разрешения в блокчейне.
Связанные руководства#
Источники#
- Ethereum.org: безопасность смарт-контрактов
- OWASP: десять главных рисков смарт-контрактов
- Поддержка Uniswap: разрешения на токены
Предупреждение о риске: Криптовалютные операции могут быть необратимыми. Никому не сообщайте сид-фразу, приватный ключ, пароль или код аутентификации; независимо проверяйте домен, контракт и каждый запрос кошелька.
Редакционный стандарт
Материал носит образовательный характер и основан на источниках. Меры безопасности, правила бирж и правовые требования могут меняться — проверяйте важные шаги по официальным данным.
