Повторное использование адреса связывает несколько поступлений и расходов с одной и той же строкой адреса. В прозрачном блокчейне любой может проследить граф транзакций и узнать ваши финансовые привычки. У некоторых типов адресов после первой траты в блокчейне также остаётся открытый ключ. Перед выводом средств выполните простые действия: сначала добавьте часто используемый адрес для получения средств в белый список адресов вывода на бирже, затем отправьте небольшую пробную сумму на новый адрес и после подтверждения получения переведите всю сумму.
Почему повторное использование адреса опасно?
В таких публичных блокчейнах, как Bitcoin и Ethereum, адрес — это не «личный почтовый ящик», а общедоступный идентификатор, который можно найти в любой момент. Если многократно получать средства на один и тот же адрес, а затем снова и снова их тратить, это приводит к нескольким взаимосвязанным проблемам:
Анализ связей: все транзакции, связанные с этим адресом, будут объединены в один кластер. Наблюдателям будет проще оценить примерный баланс, определить частых контрагентов и проследить периодичность поступлений и переводов.
Связь с личностью: если в результате вывода средств, пожертвования или публичной публикации адрес окажется связан с вашей реальной личностью, могут стать известны и все связанные с ним прошлые операции.
Раскрытие привычек: длительное использование одного адреса формирует предсказуемую модель получения средств и даёт больше материала для социальной инженерии и целевого фишинга.
В большинстве современных кошельков адреса генерируются детерминированно и иерархически (HD): при каждом нажатии «Получить» создаётся новый адрес. Обычно повторное использование возникает, когда намеренно копируют старый адрес или надолго размещают один и тот же адрес в соцсетях для получения средств. В образовательных целях безопаснее поступать так: для получения средств используйте новый адрес, который предлагает кошелёк. Если вам действительно нужно надолго опубликовать адрес для пожертвований, помните, что с момента первой траты конфиденциальность, обеспечиваемая этим адресом, уже ослабевает.
Что на самом деле означает раскрытие публичного ключа?
Рассмотрим распространённые типы адресов, например Bitcoin-адреса с оплатой на хеш публичного ключа (P2PKH). Сам адрес представляет собой хеш публичного ключа, поэтому, пока средства не потрачены, наблюдатели обычно видят только хеш. Когда вы совершаете расходную операцию с этого адреса, в ходе подписания транзакции публичный ключ попадает в блокчейн. Если после этого продолжать получать средства на тот же адрес, новые монеты поступят на адрес, публичный ключ которого уже раскрыт. Таким образом, уровень защиты снижается с уровня хеша до уровня, зависящего от самой криптографической подписи.
Это не означает, что кто-то немедленно вычислит ваш приватный ключ или что при каждом повторном использовании адреса вы сразу потеряете монеты. Речь о том, что повторное использование преждевременно раскрывает информацию, которую можно было бы скрыть, и создаёт ненужную уязвимость. В таких типах адресов, как Taproot, публичные ключи представлены иначе, поэтому нельзя применять одно объяснение ко всем блокчейнам. Но общий принцип остаётся прежним: по возможности не используйте адрес повторно; крупные суммы для долгосрочного хранения лучше держать на адресах, с которых ещё не совершались траты и на которых не раскрывались данные ключа.
В этой статье не приводятся цифры вроде «столько-то процентов хакерских атак связаны с повторным использованием адресов», не проверенные по первоисточникам. Полезные привычки в сфере безопасности важнее статистики, рассчитанной на запугивание.
Как включить белый список перед выводом средств?
Белый список адресов для вывода на бирже (ограничение через адресную книгу) и отказ от повторного использования адресов в блокчейне дополняют друг друга. Белый список гарантирует, что средства можно вывести только на адреса, которые вы проверили заранее, а отказ от повторного использования помогает не связывать историю операций. Например, на Binance можно действовать согласно инструкциям раздела «Депозит и вывод средств» в официальном справочном центре (названия пунктов интерфейса могут отличаться в зависимости от версии приложения или сайта):
Откройте страницу вывода криптовалюты и перейдите в управление адресами (адресную книгу).
Включите белый список адресов для вывода: после этого вывод средств обычно будет разрешён только на адреса из белого списка.
Добавьте адрес: укажите метку, выберите валюту или универсальный адрес и правильно укажите сеть. Копируйте адрес получателя непосредственно со страницы «Получить» в кошельке, а не из переписки или истории прошлых переводов.
Отметьте пункт добавления адреса в белый список и пройдите проверку безопасности (например, двухфакторную аутентификацию или подтверждение по электронной почте — следуйте указаниям на странице).
Если при добавлении нового адреса указано, что его активации нужно подождать, ориентируйтесь на срок, показанный на странице. Не верьте неофициальным заявлениям с выдуманным количеством часов.
Белый список — не повод «добавил однажды и навсегда успокоился»: указывайте понятные метки (например, «Холодный кошелёк для себя — BTC», «Кошелёк для спотового ETH»), регулярно проверяйте, не появились ли в списке незнакомые адреса. Прежде чем отключать белый список или массово менять адреса, убедитесь, что это действительно вы выполняете эти действия.
Как безопасно выполнить пробный вывод небольшой суммы?
Белый список решает вопрос «можно ли вывести средства на незнакомый адрес», а пробный вывод — вопрос «действительно ли этот адрес, эта сеть и это примечание приведут средства в кошелёк под вашим контролем». Рекомендуемый порядок действий:
Нажмите «Получить» в кошельке-получателе и сгенерируйте или подтвердите адрес, который будете использовать в этот раз. Проверьте, нужно ли указывать Memo/Tag для Bitcoin, Ethereum и других валют (некоторые блокчейны и биржи требуют примечание при пополнении).
Вернитесь на страницу вывода средств биржи и выберите этот адрес из белого списка. Не вставляйте по ошибке строку из мессенджера, которая «выглядит похоже».
Проверьте адрес целиком: не ограничивайтесь первыми и последними символами. При отравлении адресов часто создают поддельные адреса с похожими началом и концом и подмешивают их в историю переводов или буфер обмена.
Сначала выведите небольшую тестовую сумму, значительно меньшую целевой. Когда убедитесь, что средства поступили в кошелёк-получатель, а сумма и сеть указаны верно, выведите остаток.
Для проверки нового адреса тестовый и полный вывод можно выполнить на один и тот же адрес получателя (это намеренная, контролируемая краткосрочная связь, цель которой — проверить, что всё работает). Для последующих повседневных поступлений по возможности используйте новые адреса.
Неправильно выбранная сеть, пропущенное примечание или скопированный адрес, подменённый при отравлении, чаще всего приводят к потерям при «первом крупном переводе». Обычно пробный вывод обходится намного дешевле, чем ошибка при выборе.
Часто задаваемые вопросы
Вопрос: Считается ли фиксированный адрес из белого списка вывода биржи повторным использованием адреса? Ответ: В белом списке хранится доверенный адрес назначения для вывода. Если многократно выводить средства на один и тот же адрес собственного кошелька, в блокчейне действительно останется связь между переводами. Это компромисс между удобством и конфиденциальностью. Для большинства важнее сначала обеспечить возможность вывода только на собственные адреса и выполнять пробный вывод перед переводом всей суммы. Если конфиденциальность для вас особенно важна, используйте новые адреса для получения средств в собственном кошельке и учитывайте, что при каждом обновлении белого списка потребуется пройти проверку и дождаться активации.
Вопрос: Безопасно ли копировать адрес, использованный в прошлой транзакции? Ответ: Не рекомендуем делать это привычкой. В историю могли попасть похожие адреса, появившиеся в результате отравления адресов. Надёжнее заново скопировать адрес на странице получения средств в кошельке или выбрать его по метке в белом списке, который вы ведёте сами.
Вопрос: Какую сумму выводить для проверки? Ответ: Единого официального размера нет. Принцип такой: сумма должна быть достаточно небольшой, чтобы вы могли смириться с её полной потерей, но при этом покрывать комиссию сети и позволять проверить, поступили ли средства. Комиссии за перевод в разных валютах и сетях сильно различаются — ориентируйтесь на расчёт на странице вывода в момент перевода.
Вопрос: Можно ли включить только двухфакторную аутентификацию и не настраивать белый список? Ответ: Двухфакторная аутентификация снижает вероятность того, что кто-то войдёт в ваш аккаунт от вашего имени. Белый список дополнительно ограничивает возможность быстро вывести средства на адрес злоумышленника даже в случае успешного входа в аккаунт. Включить обе меры надёжнее, чем только одну.
Вопрос: Если мой публичный ключ уже раскрыт, значит ли это, что мои монеты немедленно оказались под угрозой? Ответ: Нет, это не означает, что их сразу украдут. Практичнее всего перестать пополнять уже использованный адрес. Крупную сумму, предназначенную для долгосрочного хранения, при удобном случае можно перевести на новый, ранее не использовавшийся адрес и продолжать пользоваться белым списком биржи и выполнять пробные выводы. Не переходите из-за тревоги по незнакомым ссылкам с предложениями «перенести средства одним нажатием» или «повысить безопасность».
Предупреждение о рисках: эта статья носит образовательный характер и посвящена безопасности адресов в блокчейне и вывода средств. Она основана на общедоступных сведениях о повторном использовании адресов и раскрытии публичного ключа, а также на общих принципах работы белых списков и адресных книг бирж. Названия пунктов меню, способы проверки и срок активации нового адреса уточняйте на официальной странице приложения или сайта, которым вы пользуетесь. Статья не является инвестиционной рекомендацией, не предсказывает цены и не гарантирует доход. Отклоняйте любые предложения незнакомцев «платно усилить защиту адреса» или «защитить от кражи одним нажатием».