Чтобы сохранить свои криптоактивы, сначала пройдите эти проверки. Сохраните себе.
1）Аппаратный кошелёк
- Покупайте только на официальном сайте или в авторизованном магазине, не пользуйтесь сомнительными посредниками
- Если после вскрытия окажется, что на карточке с сид-фразой уже что-то написано, это мошенничество — выбросьте весь комплект и не используйте его
- По возможности заказывайте доставку в пункт выдачи, а не домой
- Обновляйте прошивку только через официальное приложение
2）Сид-фраза
- Если есть возможность, выгравируйте её на стальной пластине, а не просто запишите на бумаге; не фотографируйте, не сохраняйте в облаке и не записывайте в заметки
- Вводите сид-фразу только в официальном процессе восстановления аппаратного кошелька; не вводите её на сайтах и в программных кошельках
- Не делите сид-фразу на части самостоятельно: это ненадёжно и легко приводит к утечке; если действительно нужно разделить её, используйте официально поддерживаемую схему Шамира или мультиподпись
- После создания резервной копии проверьте её: воспользуйтесь встроенной проверкой или очистите устройство и восстановите его по официальной инструкции; если не проверяли — считайте, что резервной копии нет
- Сделайте две копии и храните их в разных местах; если при пожаре резервная копия пропадёт, активы тоже можно потерять
3）Как распределить средства по кошелькам
- Крупные суммы храните в холодном кошельке, который никогда не подключается к DApp
- Для повседневных операций заведите отдельный горячий кошелёк; для тестирования новых проектов используйте отдельный кошелёк с небольшой суммой и после этого больше им не пользуйтесь
- Когда сумма станет значительной, добавьте passphrase: с той же сид-фразой без парольной фразы будет видна лишь небольшая часть активов, а с ней — основной запас
- Сделайте резервную копию и passphrase и храните её отдельно от сид-фразы; если потеряете парольную фразу, вернуть монеты уже не получится
- Если сумма достаточно велика, используйте мультиподпись — не ставьте все активы в зависимость от одной точки отказа
4）Подписание транзакций (здесь ошибаются чаще всего)
- Проверяя транзакцию, ориентируйтесь на экран аппаратного кошелька, а не только на страницу в браузере. Именно веб-интерфейс Bybit тогда был подменён, убытки составили около 1,5 млрд долларов
- Не понимаете, что подписываете, — не подписывайте
- Разрешения с пометкой «без комиссии за газ» тоже могут позволить вывести ваши монеты
- Одно вредоносное разрешение EIP-7702 может передать контроль над всем аккаунтом
- В Solana ошибочная подпись транзакции тоже может изменить права доступа к вашему токен-аккаунту; перед подписанием проверьте с помощью инструмента симуляции, что именно сделает транзакция
- Раз в месяц проверяйте разрешения и отзывайте ненужные
5）Переводы
- Не копируйте адреса из истории: мошенники могут подставить фальшивый адрес, очень похожий на настоящий
- Проверяйте полный адрес на устройстве, а не только первые и последние символы
- Перед крупным переводом сначала отправьте небольшую сумму для проверки
6）Компьютер
- Лучше иметь отдельный компьютер только для операций с криптовалютой; держите браузер в чистоте и устанавливайте как можно меньше расширений
- Скачивайте кошельки только с официальных сайтов: в магазинах приложений и результатах поиска много подделок
- Не открывайте и не запускайте неизвестные файлы, установщики игр и программ для видеоконференций, присланные незнакомцами
- Не показывайте экран и не устанавливайте программы удалённого доступа; если «служба поддержки» просит установить AnyDesk — это почти наверняка мошенники
- Добавляйте нужные сайты в закладки самостоятельно; никогда не нажимайте на рекламные объявления в поиске
- Неожиданный аирдроп или NFT считайте ловушкой
7）Биржи
- Используйте отдельный сложный пароль для каждого сайта и храните пароли в менеджере паролей
- Для двухфакторной аутентификации используйте приложение-аутентификатор или Passkey, но не SMS
- Храните резервные коды офлайн, не оставляйте их в почте или облаке
- Установите PIN-код у мобильного оператора; случаи, когда злоумышленники используют ваш номер телефона, чтобы перехватить коды подтверждения, всё ещё происходят
- Заведите отдельную электронную почту для криптовалют, чтобы вас было сложнее идентифицировать
- Включите белый список адресов для вывода средств
- Не храните на бирже монеты, которыми временно не торгуете: пока они на бирже, право на вывод не у вас
8）Личная безопасность и конфиденциальность
- Не публикуйте размер своих активов и настройки кошелька: случаи ограблений с проникновением в дом учащаются
- Служба поддержки никогда не пишет вам первой в личные сообщения
- Игнорируйте фишинговые письма и пользуйтесь только официальными каналами связи
- Заранее продумайте передачу наследства: если вас не станет и ключи пропадут, монеты тоже будут потеряны
9）Квантовые компьютеры (сегодня это ещё далеко, но знать полезно)
- Сегодня это ещё не реальная угроза; если кто-то пугает вас словами «квантовая угроза уже близко», чтобы продать продукт, скорее всего, он просто пытается что-то продать
- BTC: не используйте адрес повторно; после первой отправки с него ваш открытый ключ становится известен
- BTC: долгосрочные сбережения по возможности храните на адресах, с которых никогда ничего не отправляли; например, в Taproot (bc1p) и некоторых более старых типах адресов открытый ключ виден изначально
- BTC: BIP-360 разрабатывает адреса, устойчивые к квантовым атакам, но они ещё не запущены; также предлагалось заморозить монеты, которые не будут переведены на новые адреса
- ETH / ERC20: открытый ключ может раскрыться при отправке транзакции или подписании сообщения; крупные суммы храните в отдельном чистом кошельке
- SOL: сам адрес и есть открытый ключ, он раскрывается сразу; экспериментальные решения существуют, но обычные кошельки пока их не поддерживают
Аппаратные кошельки взламывают редко — чаще люди сами попадают в ловушки.
1）Аппаратный кошелёк
- Покупайте только на официальном сайте или в авторизованном магазине, не пользуйтесь сомнительными посредниками
- Если после вскрытия окажется, что на карточке с сид-фразой уже что-то написано, это мошенничество — выбросьте весь комплект и не используйте его
- По возможности заказывайте доставку в пункт выдачи, а не домой
- Обновляйте прошивку только через официальное приложение
2）Сид-фраза
- Если есть возможность, выгравируйте её на стальной пластине, а не просто запишите на бумаге; не фотографируйте, не сохраняйте в облаке и не записывайте в заметки
- Вводите сид-фразу только в официальном процессе восстановления аппаратного кошелька; не вводите её на сайтах и в программных кошельках
- Не делите сид-фразу на части самостоятельно: это ненадёжно и легко приводит к утечке; если действительно нужно разделить её, используйте официально поддерживаемую схему Шамира или мультиподпись
- После создания резервной копии проверьте её: воспользуйтесь встроенной проверкой или очистите устройство и восстановите его по официальной инструкции; если не проверяли — считайте, что резервной копии нет
- Сделайте две копии и храните их в разных местах; если при пожаре резервная копия пропадёт, активы тоже можно потерять
3）Как распределить средства по кошелькам
- Крупные суммы храните в холодном кошельке, который никогда не подключается к DApp
- Для повседневных операций заведите отдельный горячий кошелёк; для тестирования новых проектов используйте отдельный кошелёк с небольшой суммой и после этого больше им не пользуйтесь
- Когда сумма станет значительной, добавьте passphrase: с той же сид-фразой без парольной фразы будет видна лишь небольшая часть активов, а с ней — основной запас
- Сделайте резервную копию и passphrase и храните её отдельно от сид-фразы; если потеряете парольную фразу, вернуть монеты уже не получится
- Если сумма достаточно велика, используйте мультиподпись — не ставьте все активы в зависимость от одной точки отказа
4）Подписание транзакций (здесь ошибаются чаще всего)
- Проверяя транзакцию, ориентируйтесь на экран аппаратного кошелька, а не только на страницу в браузере. Именно веб-интерфейс Bybit тогда был подменён, убытки составили около 1,5 млрд долларов
- Не понимаете, что подписываете, — не подписывайте
- Разрешения с пометкой «без комиссии за газ» тоже могут позволить вывести ваши монеты
- Одно вредоносное разрешение EIP-7702 может передать контроль над всем аккаунтом
- В Solana ошибочная подпись транзакции тоже может изменить права доступа к вашему токен-аккаунту; перед подписанием проверьте с помощью инструмента симуляции, что именно сделает транзакция
- Раз в месяц проверяйте разрешения и отзывайте ненужные
5）Переводы
- Не копируйте адреса из истории: мошенники могут подставить фальшивый адрес, очень похожий на настоящий
- Проверяйте полный адрес на устройстве, а не только первые и последние символы
- Перед крупным переводом сначала отправьте небольшую сумму для проверки
6）Компьютер
- Лучше иметь отдельный компьютер только для операций с криптовалютой; держите браузер в чистоте и устанавливайте как можно меньше расширений
- Скачивайте кошельки только с официальных сайтов: в магазинах приложений и результатах поиска много подделок
- Не открывайте и не запускайте неизвестные файлы, установщики игр и программ для видеоконференций, присланные незнакомцами
- Не показывайте экран и не устанавливайте программы удалённого доступа; если «служба поддержки» просит установить AnyDesk — это почти наверняка мошенники
- Добавляйте нужные сайты в закладки самостоятельно; никогда не нажимайте на рекламные объявления в поиске
- Неожиданный аирдроп или NFT считайте ловушкой
7）Биржи
- Используйте отдельный сложный пароль для каждого сайта и храните пароли в менеджере паролей
- Для двухфакторной аутентификации используйте приложение-аутентификатор или Passkey, но не SMS
- Храните резервные коды офлайн, не оставляйте их в почте или облаке
- Установите PIN-код у мобильного оператора; случаи, когда злоумышленники используют ваш номер телефона, чтобы перехватить коды подтверждения, всё ещё происходят
- Заведите отдельную электронную почту для криптовалют, чтобы вас было сложнее идентифицировать
- Включите белый список адресов для вывода средств
- Не храните на бирже монеты, которыми временно не торгуете: пока они на бирже, право на вывод не у вас
8）Личная безопасность и конфиденциальность
- Не публикуйте размер своих активов и настройки кошелька: случаи ограблений с проникновением в дом учащаются
- Служба поддержки никогда не пишет вам первой в личные сообщения
- Игнорируйте фишинговые письма и пользуйтесь только официальными каналами связи
- Заранее продумайте передачу наследства: если вас не станет и ключи пропадут, монеты тоже будут потеряны
9）Квантовые компьютеры (сегодня это ещё далеко, но знать полезно)
- Сегодня это ещё не реальная угроза; если кто-то пугает вас словами «квантовая угроза уже близко», чтобы продать продукт, скорее всего, он просто пытается что-то продать
- BTC: не используйте адрес повторно; после первой отправки с него ваш открытый ключ становится известен
- BTC: долгосрочные сбережения по возможности храните на адресах, с которых никогда ничего не отправляли; например, в Taproot (bc1p) и некоторых более старых типах адресов открытый ключ виден изначально
- BTC: BIP-360 разрабатывает адреса, устойчивые к квантовым атакам, но они ещё не запущены; также предлагалось заморозить монеты, которые не будут переведены на новые адреса
- ETH / ERC20: открытый ключ может раскрыться при отправке транзакции или подписании сообщения; крупные суммы храните в отдельном чистом кошельке
- SOL: сам адрес и есть открытый ключ, он раскрывается сразу; экспериментальные решения существуют, но обычные кошельки пока их не поддерживают
Аппаратные кошельки взламывают редко — чаще люди сами попадают в ловушки.