Ловушка подписи скрывает или искажает действие, которое разрешает ваш кошелёк. Не подписывайте нечитаемые данные, незнакомые сообщения Permit и транзакции, чей контракт и результат вы не можете проверить. Аппаратный кошелёк защищает ключи, но не спасает, если вы сами подтвердили вредоносную команду.
Практический порядок действий#
- Проверьте домен и аккаунт, запрашивающие подпись. Сверьте точный адрес сайта с официальным источником, открытым независимо от текущей страницы.
- Прочитайте расшифрованное действие, сеть, адрес получателя разрешения и сумму. Не полагайтесь на название кнопки: ориентируйтесь на данные, которые показывает сам кошелёк или доверенный декодер.
- Отклоняйте шестнадцатеричные и двусмысленные сообщения, пока не расшифруете их независимо. Проверка должна завершиться до передачи права распоряжаться активами.
- Используйте симуляцию и декодирование транзакции из доверенного источника. После подтверждения всё равно проверьте фактическое изменение разрешений или баланса.
- После подозрительной подписи просмотрите и отзовите разрешения. Проверьте сеть, токен, spender-адрес и лимит непосредственно в блокчейне.
Что действительно важно#
Подпись может означать не только вход. В зависимости от стандарта она способна установить лимит расходования токена, разместить ордер на NFT или разрешить ретранслятору выполнить действие позже без нового запроса в кошельке.
Разделяйте то, что можно проверить до подписи, и то, за чем получится лишь наблюдать после неё. Для второй категории заранее устанавливайте жёсткие лимиты.
Универсальное правило решения#
До подтверждения определите класс запроса: аутентификация, транзакция, разрешение, Permit-подпись или ордер. Если интерфейс не показывает, к какому классу относится действие, безопаснее его отклонить.
Ошибки, меняющие исход#
- «Без газа» воспринимают как «без риска». Бесплатная подпись может дать право выполнить платное действие в блокчейне позже.
- В сообщении для входа неожиданно появляется nonce или условие расходования. Оформление сайта можно скопировать, поэтому заново откройте сервис через независимо проверенный канал.
- Слепая подпись постоянно включена на аппаратном устройстве. Так отключается важный уровень проверки, который должен ограничивать ущерб.
- Запрос подписывают повторно, потому что первый якобы не сработал. Первая подпись могла остаться действительной, а вторая — выдать ещё одно разрешение.
Какие доказательства сохранить#
Не судите о результате только по сообщению интерфейса. Используйте данные, доступные для проверки после закрытия страницы.
| Контрольная точка | Доказательство | Условие остановки |
|---|---|---|
| Проверить домен и аккаунт | Точный URL или адрес контракта совпадает с официальной документацией | «Без газа» выдают за отсутствие риска |
| Прочитать действие, сеть, spender и сумму | Датированная расшифровка запроса без секретных данных | В сообщении для входа есть условие расходования |
| Отклонить непонятные данные до независимой расшифровки | Скриншот или запись симуляции с закрытыми личными данными | Слепая подпись постоянно включена на устройстве |
Сохраняйте хеши транзакций, адреса контрактов и датированные скриншоты, когда они помогают расследованию, но исключайте сид-фразы, приватные ключи и коды аутентификации.
Часто задаваемые вопросы#
Любая подпись требует комиссию за газ?
Нет. Создание внеблокчейновой подписи может быть бесплатным, хотя она всё равно разрешает последующее действие в блокчейне.
Можно ли отозвать любую подпись?
Не всегда. Некоторые разрешения можно отозвать или аннулировать, подписанный ордер иногда нужно отменить отдельно, а выполненный перевод уже необратим.
Когда слепая подпись действительно нужна?
Некоторые приложения без неё не работают, но эта функция убирает важную проверку. Включайте её только для проверенной и понятной транзакции, а затем отключайте.
Связанные руководства#
Источники#
Предупреждение о риске: Операции с криптовалютой могут быть необратимыми. Никому не передавайте сид-фразу, приватный ключ, пароль или код аутентификации и независимо проверяйте каждый домен и запрос кошелька.
Редакционный стандарт
Материал носит образовательный характер и основан на источниках. Меры безопасности, правила бирж и правовые требования могут меняться — проверяйте важные шаги по официальным данным.
