Чек-лист безопасности кошелька: 15 правил, которые защитят ваши деньги

В блокчейне нет «службы поддержки», которая вернёт деньги. Безопасность целиком на вас, но хорошая новость: большинство потерь происходит из-за нескольких повторяющихся ошибок. Этот чек-лист закрывает почти все из них. Основы про ключи - в статьях кошелёк и ключи и криптография с открытым ключом.

Правила для seed-фразы и ключей

1. Запишите seed-фразу на бумагу или металл. Не фотографируйте, не сохраняйте в заметках, облаке или мессенджере. Всё, что подключено к интернету, может быть взломано.
2. Храните копию в другом месте. Пожар или потоп не должны уничтожить единственный экземпляр.
3. Никому не называйте фразу. Ни поддержке, ни «админу», ни «специалисту по восстановлению». Настоящая поддержка никогда её не спросит.
4. Не вводите фразу в сайты. Единственное законное место, где её вводят, - это экран восстановления самого кошелька, который вы скачали из официального источника.

Правила выбора кошелька

1. Для крупных сумм используйте аппаратный кошелёк. Ключ в нём не покидает устройство, а каждое действие вы подтверждаете кнопкой на самом устройстве.
2. Скачивайте кошелёк только из официальных источников. Проверяйте адрес сайта и издателя в магазине приложений. Поддельные расширения - частый способ кражи.
3. Разделяйте кошельки. Один - для хранения («сейф»), другой - для повседневных операций («кошелёк для сделок»). В «рабочем» держите ровно столько, сколько нужно для операций.

Правила для подписей и разрешений

1. Читайте то, что подписываете. Внимательно смотрите, что показывает кошелёк: какой контракт, какая сеть, какая функция, какая сумма. Если текст непонятен - не подписывайте.
2. Будьте осторожны с «бесконечным» одобрением. Разрешение approve с огромной суммой позволяет контракту тратить все ваши токены, пока вы его не отзовёте (как устроено). Давайте точную сумму или отзывайте разрешения после использования.
3. Периодически проверяйте и отзывайте разрешения. Для этого есть специальные сервисы просмотра разрешений и обозреватели блоков (руководство).
4. Не подписывайте «пустые» сообщения непонятного содержания. Подпись может быть разрешением на списание токенов или передачу прав.

Правила для работы с адресами и сайтами

1. Проверяйте адрес получателя целиком - начало, конец и середину. Не копируйте адрес из истории транзакций вслепую (отравление адреса).
2. Добавляйте нужные сайты в закладки и заходите по ним, а не по ссылкам из почты, чатов и рекламы.
3. Проверяйте адрес контракта перед работой с ним. Сверяйте с официальным источником (как проверить контракт).
4. Пробуйте на малой сумме. Новому получателю или сервису отправьте минимальную сумму для проверки, затем остальное.

Что делать, если что-то пошло не так

Если подозреваете, что seed-фраза или ключ раскрыты:

1. Немедленно создайте новый кошелёк с новой фразой на чистом устройстве.
2. Переведите на него всё, что осталось, начиная с самых ценных активов.
3. Отзовите разрешения на старом адресе (если ещё можете).
4. Не пользуйтесь старым кошельком.

Если мошенник уже следит за адресом, он может перехватывать новые поступления автоматически, поэтому действовать нужно быстро.

Если вы подписали вредоносное разрешение: срочно отзовите его, пока токены не списаны.

Если отправили деньги не туда: увы, транзакция необратима. Можно связаться с получателем, если это известный сервис, но рассчитывать на возврат не стоит.

Дополнительные меры для сделок

• Договаривайтесь заранее о сети, токене и сумме. Сверяйте детали через сайт сервиса, а не только через переписку.
• Проверяйте адреса сторон и гаранта в карточке сделки (жизненный цикл).
• Опасайтесь срочности. Давление («переводите прямо сейчас») - главный признак мошенничества (красные флаги).
• Сохраняйте переписку и доказательства на случай спора (руководство по доказательствам).

Быстрая проверка

Прежде чем подписать любую транзакцию, спросите себя:

• Я сам начал это действие?
• Я понимаю, что именно подписываю?
• Сеть, адрес и сумма верные?
• Я перешёл на сайт по своей закладке?

Если хотя бы на один вопрос ответ «нет» - остановитесь.

Что почитать дальше

Узнайте, как мошенники действуют на практике: фишинг и отравление адресов. Для технически любопытных - как кошелёк получает все ключи из одной фразы: HD-кошельки.