Как распознать поддельные токены и опасные разрешения кошелька

Название, логотип или тикер токена не доказывают, что это за актив. Во многих блокчейнах разные токены могут иметь одинаковые названия и символы, а вредоносный сайт может оформить запрос кошелька так, будто это обычный вход в систему. Важно выяснить, с каким контрактом токена или активом вы имеете дело, какое действие разрешает ваш кошелёк и какой аккаунт или контракт получит эти полномочия.

Понимание этих различий помогает избежать двух связанных опасностей: покупки поддельного токена или взаимодействия с ним, а также выдачи опасного разрешения контракту, который впоследствии сможет перемещать активы. Ни знакомый бренд, ни успешное подключение кошелька сами по себе не гарантируют безопасность взаимодействия.

Что делает токен поддельным — или убедительным?

Во многих сетях токенов токен определяется адресом своего контракта в конкретном блокчейне, а не отображаемым названием. Мошенник может создать токен с тем же названием и тикером, что и у известного актива, а затем скопировать его оформление и описание. Кошельки и приложения для отслеживания портфеля могут показывать эти знакомые данные, хотя токен контролируется посторонним контрактом.

Адреса нужно проверять с учётом контекста: важен не только адрес, но и правильная сеть. Токен в одной сети не становится автоматически тем же активом, что и похожий токен в другой. Мост может создавать обёрнутую или перенесённую версию актива со своим контрактом, работа которой зависит от устройства моста. Не считайте два токена с одинаковыми тикерами взаимозаменяемыми.

Найдите адрес на официальном сайте или в документации проекта, открытых самостоятельно из проверенного источника, и сравните его с данными надёжного обозревателя блокчейна для нужной сети. Остерегайтесь рекламных результатов поиска, нежелательных сообщений, ответов в социальных сетях и ссылок от незнакомцев. Поддельный сайт может опубликовать ложный адрес, поэтому убедитесь, что используете настоящий канал проекта, а не считайте любую отдельную страницу доказательством подлинности.

Подделки могут копировать не только названия

Для имитации проекта могут использовать похожее написание, знакомый логотип, фальшивое объявление или утверждения, будто нежелательный токен — это эйрдроп. Некоторые мошеннические токены рассылают на множество кошельков, чтобы получатели заметили их в портфеле. Появление токена в кошельке не означает, что его владелец выбран для получения законного вознаграждения. Взаимодействие с сайтом такого токена или попытка продать его могут подвергнуть кошелёк риску вредоносной транзакции или запроса на разрешение.

В контракты других токенов могут быть заложены ограничения. В зависимости от устройства токена переводы или продажи могут быть ограничены, могут взиматься комиссии или владелец контракта может иметь особые полномочия. Наличие токена на децентрализованной бирже не доказывает его безопасность и не гарантирует, что обычные держатели смогут его продать. Небольшая тестовая транзакция может подтвердить лишь ограниченный факт на данный момент; она не доказывает надёжность контракта и не гарантирует, что будущие сделки пройдут успешно.

Метки в обозревателе блокчейна и верифицированный исходный код могут помочь при проверке, но не являются рекомендацией. Верификация упрощает изучение кода, однако не доказывает, что он безвреден, что заявления проекта правдивы или что адрес принадлежит именно тому проекту, которым вы собирались пользоваться. Рассматривайте сведения о токене как данные для сравнения, а не как сертификат безопасности.

Что на самом деле делает разрешение кошелька

Подключение кошелька к сайту обычно позволяет сайту увидеть публичный адрес и запрашивать транзакции. Само по себе подключение, как правило, не передаёт сайту контроль над кошельком. Разрешение — другое дело: оно может уполномочить указанный аккаунт или контракт в блокчейне выполнять определённые действия с указанными активами.

Для распространённого типа взаимозаменяемых токенов в сети, совместимой с Ethereum, лимит расходования позволяет адресу-оператору перевести из кошелька владельца до одобренного количества этих токенов. Маршрутизатор децентрализованной биржи, кредитный протокол или другое приложение может запросить такое разрешение, чтобы выполнить транзакцию. Если оператор вредоносен, скомпрометирован или это не тот контракт, который вы ожидали, разрешённые токены могут оказаться под угрозой. Некоторые приложения запрашивают очень большой или фактически неограниченный лимит, чтобы пользователям не приходилось подтверждать каждую последующую транзакцию.

Разрешение не обязательно приводит к немедленному переводу. Это полномочие, которым можно воспользоваться позднее с учётом правил токена и контракта. Из-за этого даже безобидный на вид клик может иметь последствия: владелец кошелька уже покинул сайт, а активное разрешение всё ещё действует в блокчейне. Системы разрешений различаются в разных блокчейнах и для разных типов активов, поэтому точный эффект зависит от сети, токена и задействованного контракта.

Для NFT существуют похожие, но отличающиеся разрешения. Владелец может уполномочить оператора управлять несколькими NFT из коллекции или переводить их, вместо того чтобы разрешить единственный перевод одного токена. Внимательно прочитайте описание полномочий, показанное кошельком. Разрешение на всю коллекцию может быть шире, чем кажется необходимым для разового размещения на продажу или перевода.

Разрешения — не единственный тип подписей

Кошелёк может предложить подписать сообщение, а не отправить транзакцию. Некоторые подписи используются для безвредных целей, например для подтверждения контроля над адресом, но другие могут разрешать выполнение действий. Механизмы permit для токенов и другие схемы подписания типизированных данных позволяют контракту использовать подписанное разрешение при заданных условиях. Запрос на подпись может не выглядеть как обычное разрешение на токены и может не требовать от вас немедленной транзакции в блокчейне.

Не считайте любую подпись безопасной только потому, что её называют входом в систему, получением награды или проверкой. Проверьте объяснение кошелька о том, что именно подписывается, сайт и действие, вызвавшие запрос, а также сведения об активе, операторе, сумме или сроке действия, если они отображаются. Если запрос непонятен или возник неожиданно, отмените его и разберитесь самостоятельно. Никогда не сообщайте фразу восстановления или закрытый ключ ради подтверждения разрешения: для взаимодействия с легитимным контрактом не требуется ни то ни другое.

Как оценить запрос перед подтверждением

1. Проверьте сайт и сеть. Переходите в приложение из надёжного источника, а не по ссылке из нежелательного сообщения. Убедитесь, что кошелёк подключён к нужной сети. Одного знакомого названия сайта в запросе кошелька недостаточно, чтобы подтвердить подлинность подключённого сайта или контракта.

2. Прочитайте сведения о разрешении. Определите актив, оператора, сумму и объём полномочий. Сравните адрес оператора со сведениями из проверенной документации приложения или данными о контракте. Если кошелёк или предварительный просмотр транзакции не показывают достаточно информации, чтобы понять разрешение, не пытайтесь угадать.

3. Убедитесь, что объём полномочий соответствует действию. Для обмена или размещения токена на продажу может понадобиться лимит расходования, но это не значит, что каждый запрос на неограниченный доступ необходим. Если кошелёк и приложение позволяют, рассмотрите ограниченный лимит, достаточный для нужной операции. Лимит уменьшает потенциальный риск, но не делает вредоносный контракт безопасным и не гарантирует успешного выполнения операции.

4. Остановитесь, если запрос возник неожиданно. С особой осторожностью относитесь к запросу подтвердить токен, который вы не выбирали, предоставить широкий доступ ко всей коллекции, подписать непонятные данные или перейти на сайт, чтобы разблокировать нежелательный токен. Безопаснее отменить запрос, чем подтверждать то, что вы не можете объяснить простыми словами.

Практика управления разрешениями

Периодически проверяйте действующие разрешения, особенно после использования нового децентрализованного приложения, разового минта или сайта, которым вы больше не пользуетесь. Функции кошелька и надёжные обозреватели блокчейна могут показывать лимиты расходования токенов или операторов NFT. Прежде чем подключаться к такому инструменту, проверьте, что он действительно связан с той сетью или кошельком, которые вы собираетесь проверить: поддельный сервис проверки разрешений сам может оказаться фишинговым сайтом.

Если разрешение больше не нужно, воспользуйтесь надёжной функцией кошелька или взаимодействием с контрактом, чтобы уменьшить лимит или отозвать разрешение оператора. Перед подписанием транзакции отзыва проверьте сеть и адрес оператора. Для отзыва обычно требуется транзакция в блокчейне, за которую может взиматься сетевая комиссия. Отзыв не отменяет уже состоявшиеся переводы, не возвращает украденные активы и не снимает другое разрешение, выданное иному контракту.

У инструментов управления разрешениями есть ограничения. Они могут показывать только те разрешения для конкретной сети или стандарта токенов, которые способны обнаружить, а метки могут быть неполными. У контракта токена могут быть дополнительные механизмы управления, не являющиеся обычным лимитом расходования. Если вы подозреваете, что кошелёк скомпрометирован, прекратите подтверждать запросы и разберитесь в ситуации с чистого доверенного устройства и аккаунта. Изменение одного лимита не заменяет меры по защите скомпрометированной фразы восстановления или закрытого ключа.

Подумайте о том, чтобы хранить активы для повседневных операций в DeFi отдельно от долгосрочных вложений. Отдельный кошелёк может ограничить сумму, подверженную риску при работе с сомнительным приложением, но не делает это приложение безопасным. Аппаратный кошелёк может защитить ключи для подписания от некоторых угроз со стороны устройств, однако он не способен надёжно защитить от подтверждения вредоносной транзакции или непонятного разрешения.

Как на ситуацию влияет способ хранения активов

На кастодиальном биржевом аккаунте провайдер обычно хранит активы в блокчейне или контролирует их от имени клиента. Покупка спотового актива внутри такого аккаунта — не то же самое, что предоставление разрешения DeFi-контракту из личного кошелька. Вам может потребоваться оценить биржу и порядок хранения активов, однако разрешение кошелька в блокчейне обычно имеет значение, когда вы подключаете кошелёк к приложению или иным образом подтверждаете действие в блокчейне.

После вывода токенов на кошелёк с самостоятельным хранением ключами для подписания управляете вы, поэтому вам нужно оценивать подтверждаемые транзакции и разрешения. Производные инструменты — например, фьючерсы и другие контракты, предлагаемые через платформу, — устроены иначе: они дают договорную позицию и не обязательно означают, что вы владеете базовым токеном или можете его вывести. Позиция в DeFi может задействовать смарт-контракты, разрешения на токены и дополнительные риски, например сбои контракта или протокола. Прежде чем применять рекомендации об адресах токенов или разрешениях, выясните, чем именно вы владеете.

Простое правило принятия решения

Перед взаимодействием вы должны быть в состоянии ответить на три вопроса: это именно тот актив и именно та сеть, которые мне нужны? Это подлинное приложение или контракт? Какие полномочия я ему предоставляю, на какой срок и в пределах какой суммы? Если на любой вопрос нет уверенного ответа, остановитесь. Проверьте сведения по независимым надёжным источникам, а не полагайтесь на отображаемое название токена, публикацию в соцсетях или стандартный запрос на разрешение в кошельке.

Напоминание о рисках: Криптотокены, смарт-контракты, мосты, биржи и операции с кошельками сопряжены с риском потери или кражи активов, технических сбоев и ограниченных возможностей их возврата. Проверка разрешений и соблюдение правил управления ими могут снизить некоторые риски, но не способны устранить их полностью. Эта статья носит образовательный характер и не является персональной финансовой рекомендацией или консультацией по безопасности.