Web3 srozumitelně: zjistěte, co po vás peněženka žádá
Web3 označuje aplikace, které pro část svých funkcí využívají blockchainy, peněženky a sdílené protokoly. Patří sem směna tokenů, vlastnictví sběratelských předmětů nebo komunitní správa. Nejde o další internet, do kterého musíte vstoupit, a označení Web3 nezaručuje decentralizaci, soukromí ani bezpečnost. Důležité je, co ovládáte vy a co stále závisí na provozovateli.
Váš úkol: rozlišit připojení peněženky, podpis a oprávnění utrácet tokeny, než posoudíte, zda požadavek odpovídá vašemu záměru.
Tři vrstvy aplikace Web3
Web je uživatelské rozhraní
Stránka v prohlížeči zobrazuje informace a navrhuje akce. Doménu, hosting, výsledky vyhledávání i podporu může ovládat firma nebo útočník. Známý vzhled nedokazuje, že komunikujete se správným kontraktem. Pouhé prohlížení či ověření veřejné adresy by nemělo vyžadovat obnovovací frázi.
Peněženka spravuje vaše oprávnění
Peněženka spravuje klíče a žádá vás o schválení akcí. Základní připojení obvykle sdílí vybrané veřejné údaje účtu; samo o sobě nepovoluje utrácení tokenů. Čtěte každý požadavek, protože peněženky podporují i pokročilejší oprávnění. Veřejné adresy a historie transakcí jsou na veřejných blockchainech viditelné i bez připojení k webu.
Kontrakty vykonávají pravidla
Chytrý kontrakt provádí naprogramovaná pravidla na blockchainu. Tokeny mohou představovat zůstatky, hlasovací práva nebo přístup, ale ne každá užitečná aplikace potřebuje vlastní token. Zjistěte, zda správce může kontrakt aktualizovat, pozastavit nebo změnit. Rozhraní, poskytovatelé dat a hostované uzly mohou zůstat centralizované, i když vypořádání probíhá na blockchainu.
Ověřte požadavek ve třech krocích
Ověřte cíl a síť
Začněte na nezávisle ověřené adrese projektu, nikoli u nevyžádané zprávy nebo sponzorovaného výsledku. Zkontrolujte síť, účet a cílový kontrakt v peněžence. Samotný ticker tokenu k identifikaci kontraktu nestačí. Než připojíte účet s cennými aktivy, přečtěte si navrhovanou akci.
Zjistěte, co povolujete
Podpis zprávy vás může přihlásit, ale jiné podpisy mohou schválit objednávky nebo utrácení tokenů. Nulový poplatek za gas neznamená nulové riziko. Schválení nebo permit může konkrétnímu příjemci oprávnění zpřístupnit konkrétní token. Transakce může přesouvat prostředky či měnit stav blockchainu. Pokud peněženka nezobrazí srozumitelnou akci nebo ji nedokážete vysvětlit, zastavte se a nepodepisujte naslepo.
Zkontrolujte rozsah a následný výsledek
U podporovaného oprávnění k tokenům prověřte token, příjemce oprávnění a částku. Je-li to praktické, omezte oprávnění na zamýšlený úkol. Odhad gasu posuzujte zvlášť. Po transakci ověřte stav a skutečné změny tokenů v peněžence či průzkumníku. Odpojení webu ruší připojení, nikoli automaticky dosud platné oprávnění utrácet tokeny.
Příklad: platba není totéž co limit oprávnění
V aplikaci chcete použít 25 jednotek fiktivního TOKEN. Peněženka ale žádá o limit 10 000 TOKEN pro určitý kontrakt. Jde o oprávnění až na 400násobek zamýšlené částky, nikoli o potvrzení platby 25 tokenů. Běžný limit platí pro daný token, příjemce oprávnění a síť; dokud je platný, může ohrozit i budoucí vklady. Nejdřív ověřte kontrakt a poté snižte limit na 25, pokud to postup podporuje, nebo požadavek odmítněte. Nižší limit omezuje částku vystavenou tomuto oprávnění, nikoli důvěryhodnost kontraktu. Samotný nákup či vklad je zvláštní akce, pokud aplikace kroky výslovně nespojuje.
Chyby, které vytvářejí zbytečné riziko
Považovat podpis za neškodné přihlášení
Čtěte doménu, účel, rozsah tokenů a dobu platnosti, pokud jsou uvedeny. Některé podpisy mimo blockchain lze později použít ke schválení akcí na blockchainu. Bezplatný podpis nemusí být neškodná zpráva. Neschvalujte požadavek jen proto, že údajná podpora tvrdí, že je nutný k odemčení prostředků.
Zaměňovat vlastnictví za zaručený přístup
Držení tokenu nezaručuje, že jeho web, obrázek nebo tržiště zůstanou dostupné. Tokeny pro správu automaticky nepřinášejí skutečnou kontrolu, pokud je hlasování soustředěné nebo správce může rozhodnutí přepsat. Zjišťujte, co je uloženo na blockchainu, co závisí na externích serverech a kdo může obojí změnit.
Myslet si, že odpojení znamená zrušení oprávnění
Odpojení webu a zrušení tokenového oprávnění jsou odlišné operace. Oprávnění kontrolujte přes důvěryhodnou peněženku či průzkumník ve správné síti. Zrušení na blockchainu zpravidla stojí gas a mění budoucí oprávnění; nevrací již převedená aktiva. Nepoužívejte náhodně zaslaný odkaz na „čistič peněženky“.
Vyzkoušejte si posouzení požadavku
Chcete vložit 20 TOKEN. Web žádá o oprávnění na 5 000 TOKEN a tvrdí, že pozdější odpojení oprávnění odstraní. Co je na vysvětlení špatně a co máte před pokračováním ověřit?
Zobrazit vysvětlení
Limit je 250násobkem plánovaného vkladu. Odpojení jej neruší. Ověřte web, síť, kontrakt tokenu i příjemce oprávnění; prověřte požadovaný rozsah a použijte vhodný nižší limit, pokud je podporován, nebo požadavek odmítněte. Vklad potvrďte samostatně a následně zkontrolujte zbývající oprávnění. Úspěšná transakce ani omezený limit nedokazují bezpečnost aplikace.
