Кошелёк может показывать баланс, подключаться к приложению и подтверждать перевод.

Эти действия кажутся привычными. Но технология за ними работает иначе, чем обычный платёжный счёт.

Если вы пользуетесь некастодиальным (self-custodial) кошельком, ошибку бывает сложно или невозможно исправить. Транзакцию могут подписать, и ни банк, ни служба поддержки не смогут её отменить.

Понимание того, что контролирует кошелёк, где находятся активы и что разрешает подпись, помогает принимать более безопасные решения. Также узнайте, почему отключение кошелька не отзывает разрешения на токены.

Что такое кошелёк?

Кошелёк — это программа или устройство, которое помогает управлять адресами в блокчейне и подтверждать транзакции. Сами активы не хранятся в приложении как файлы: они записаны в соответствующем блокчейне.

Кошелёк может показывать баланс, создавать запросы на транзакции и подписывать сообщения или транзакции с помощью выбранного способа управления ключами.

Модель контроля зависит от продукта.

В кастодиальном кошельке приватными ключами или инфраструктурой подписи управляет провайдер.

Некастодиальный кошелёк устроен так, чтобы право подписи было у пользователя.

Разные некастодиальные решения могут использовать фразы восстановления, аппаратные устройства, смарт-аккаунты, ключи доступа (passkeys) или другие способы восстановления.

Само слово «кошелёк» не говорит, какая схема используется.

Приватные ключи, seed-фразы и passkeys

Приватный ключ может подтверждать операции для аккаунта в блокчейне, которым он управляет.

Seed-фраза — это способ восстановления, с помощью которого многие кошельки создают или восстанавливают ключи.

Если злоумышленник получит фразу восстановления или приватный ключ, он может завладеть связанными активами.

Никогда не передавайте приватные ключи или seed-фразы сотрудникам поддержки, сайтам или людям, которые обещают вернуть транзакцию.

Passkeys могут дать другой способ аутентификации или подписи в системах, которые их поддерживают.

Но реальная модель безопасности зависит от того, как кошелёк реализует passkeys и как работает восстановление.

Интерфейс на основе passkeys не доказывает, что все сценарии потери доступа или восстановления исключены.

Почему важна сеть блокчейна

Криптоактив относится к конкретной сети или контракту токена.

Ethereum и сети, совместимые с Ethereum Virtual Machine, могут использовать похожий формат адресов.

Но балансы при этом не объединяются.

Кошелёк может показывать один и тот же адрес 0x в Ethereum, Base и Arbitrum, но в каждой сети на нём будут разные активы.

Если отправить токен через сеть, которую получатель не поддерживает, средства могут потеряться или стать недоступными.

Перед переводом уточните точную сеть, токен, адрес получателя и дополнительные инструкции.

В руководстве по EVM-кошелькам объясняется, почему знакомый адрес может появляться в нескольких сетях и при этом не означать один и тот же баланс.

Что такое смарт-контракты?

Смарт-контракт — это программа в блокчейне, которая выполняется по заданным правилам, когда выполнены нужные условия и транзакции.

Смарт-контракты обеспечивают переводы токенов, децентрализованные биржи, системы кредитования и другие ончейн-приложения.

После развёртывания одни контракты нельзя изменить, а у других есть механизмы обновления или администраторы с особыми правами.

Безопасность зависит от кода, разрешений и системы в целом.

Обращайте внимание на контракт, с которым работаете, на разрешения, которые даёте, и на сумму активов под риском.

Смарт-контракт — это программа в блокчейне, которая выполняется по заданным правилам, когда наступают нужные условия и проходят транзакции. Проверьте поддерживаемые сети и модель некастодиальной подписи и восстановления.

Чем транзакция отличается от разрешения на токены

Отправка токена переводит указанный актив по правилам транзакции.

Разрешение (approval) может позволить другому адресу или смарт-контракту тратить токены от имени владельца — в пределах одобренного лимита и с учётом работы контракта.

Это разные действия.

Разрешение может оставаться активным после того, как вы отключили кошелёк от сайта.

Отключение интерфейса не обязательно отменяет ончейн-разрешение на траты токенов.

По возможности давайте ограниченные разрешения, а не безлимитные — особенно незнакомым контрактам.

Проверяйте старые разрешения и отзывайте ненужные через надёжные инструменты.

Учтите, что отзыв тоже может потребовать ончейн-транзакции и комиссии сети.

Как проверить транзакцию в блокчейне

Обозреватель блоков (block explorer) помогает посмотреть публичную информацию о транзакции. В нужной сети найдите хеш транзакции и проверьте:

• Статус транзакции

• Блок и подтверждения

• Адрес отправителя

• Адрес получателя

• Токен и сумму

• Взаимодействия с контрактами

• Комиссии за транзакцию

Читайте результат внимательно.

Успешная транзакция означает, что блокчейн выполнил её по своим правилам. Это не всегда значит, что приложение получателя уже зачислило средства на офчейн-баланс пользователя. Если транзакция подтверждена на неверный адрес, вернуть её может быть невозможно.

У стейблкоинов тоже есть риски

Стейблкоины, такие как USDT и USDC, созданы, чтобы повторять стоимость базовой валюты. Они бывают полезны для некоторых платежей, но их риски отличаются от рисков обычных банковских вкладов.

Среди рисков — контроль со стороны эмитента, условия погашения, хранение, поддержка сетей, ситуация на рынке и доступ к сервисам обмена.

В действующих условиях USDC от Circle описаны ограничения адресов и возможность необратимых ончейн-переводов. Владельцу стейблкоина стоит понимать и сам токен, и провайдера, через которого он его обменивает или выводит. Фрилансерам и всем, кто получает доход из-за рубежа, в платёжных инструкциях стоит указывать точный токен и сеть.

Безопасная привычка перед подписью

Остановитесь, если транзакция запрашивает непонятные вам разрешения.

Проверьте домен приложения и адрес получателя.

Прочитайте, какое действие показывает кошелёк. Если возможно, проверьте взаимодействие с контрактом и сумму разрешения.

Не подписывайте непонятные запросы из сообщений в соцсетях, нежелательных писем или фальшивых чатов поддержки.

Для крупных сумм подумайте о том, чтобы разделить повседневную работу с приложениями и долгосрочное хранение, и используйте подходящие способы защиты ключей.

Разберитесь с восстановлением кошелька заранее. Оценить способ восстановления гораздо проще, пока доступ ещё работает.

С чего начать

Изучите основы кошельков, сети блокчейна, разрешения на токены и безопасность транзакций.

Подробные руководства

Адрес кошелька ERC-20: пример, формат и как его получить

Как безопасно проверить баланс токенов: приложение кошелька, обозреватель блоков и частые ошибки

Лучший кошелёк для нигерийских фрилансеров, получающих USDT или USDC

Что не стоит вставлять в ChatGPT, если вы пользуетесь криптовалютой

Симуляция транзакций: узнайте, что сделает криптотранзакция, до подписи

Что такое rug pull в криптовалюте? Тревожные признаки, «жёсткие» и «мягкие» схемы и как защититься

Как купить WBTC за USDT: что проверить перед обменом

Обмен криптовалюты без CEX: более безопасный способ через кошелёк

Поймите, из чего всё состоит

Кошельки управляют ключами или правами подписи; блокчейны записывают транзакции. Контракты токенов, сети, разрешения и способы восстановления несут свои операционные риски.

Проводите транзакции безопаснее

Проверяйте адреса получателей и контракты токенов, смотрите объём разрешений, не подписывайте незнакомые запросы и помните, что транзакцию может быть нельзя отменить.

Отделяйте базовые темы от заявлений о продукте

Изучайте общие понятия о кошельках и блокчейне отдельно от текущих возможностей конкретного приложения. Всегда проверяйте, соответствует ли старое руководство нынешнему продукту.

Разберитесь в основах, прежде чем переводить активы

Проверьте сеть, актив, контракт токена и поддержку у получателя. Одинаковый формат адреса в EVM-сетях не объединяет активы, которые хранятся в разных сетях.

Точно знайте, что разрешает подпись

Разрешение на токен может сохраняться после отключения сайта. Проверьте контракт, лимит и способ восстановления и никогда не сообщайте приватный ключ или сид-фразу «поддержке».

Разберитесь в основах, прежде чем переводить активы

Самая полезная привычка в крипте — точно понимать, что вы отправляете, через какую сеть и какие права предоставляете. Проверьте настройки кошелька перед переводом активов