Web3 w praktyce: zrozum, o co prosi Twój portfel
Web3 opisuje aplikacje, które do części funkcji wykorzystują blockchainy, portfele i wspólne protokoły. Przykłady to wymiana tokenów, własność przedmiotów kolekcjonerskich i zarządzanie społecznością. Nie jest to osobny internet, do którego trzeba dołączyć. Etykieta Web3 nie gwarantuje decentralizacji, prywatności ani bezpieczeństwa. Ważne jest to, co kontrolujesz samodzielnie, a co nadal zależy od operatora.
Twoje zadanie: odróżnić połączenie portfela, podpis i uprawnienie do wydawania tokenów, zanim ocenisz, czy prośba aplikacji odpowiada Twojemu zamiarowi.
Trzy warstwy aplikacji Web3
Strona jest interfejsem
Strona w przeglądarce wyświetla informacje i proponuje działania. Domena, hosting, wynik wyszukiwania i kanały pomocy mogą należeć do firmy lub zostać przejęte. Znajomy wygląd nie dowodzi, że korzystasz z właściwego kontraktu. Samo przeglądanie lub sprawdzenie publicznego adresu nie powinno wymagać frazy odzyskiwania.
Portfel zarządza Twoimi uprawnieniami
Portfel zarządza kluczami i prosi o zatwierdzanie działań. Zwykłe połączenie zazwyczaj udostępnia wybrane publiczne informacje o koncie; samo nie pozwala wydawać tokenów. Czytaj każdą prośbę, ponieważ portfele obsługują też bardziej zaawansowane uprawnienia. Publiczne adresy i historia transakcji są widoczne w publicznych sieciach nawet bez łączenia się ze stroną.
Kontrakty wykonują reguły
Smart kontrakt wykonuje zaprogramowane reguły w blockchainie. Tokeny mogą reprezentować salda, prawa głosu lub dostęp, lecz nie każda użyteczna aplikacja potrzebuje własnego tokena. Sprawdź, czy administrator może aktualizować, wstrzymać lub zmienić kontrakt. Interfejsy, dostawcy danych i hostowane węzły mogą pozostać scentralizowane, nawet gdy rozliczenia odbywają się w blockchainie.
Sprawdź prośbę w trzech krokach
Zweryfikuj cel i sieć
Zacznij od samodzielnie zweryfikowanego adresu projektu, a nie niezamówionej wiadomości czy sponsorowanego wyniku. Sprawdź sieć, konto i kontrakt docelowy pokazywane przez portfel. Sam symbol tokena nie wystarcza do identyfikacji kontraktu. Przeczytaj proponowaną czynność przed połączeniem konta z wartościowymi aktywami.
Ustal, co autoryzujesz
Podpis wiadomości może służyć do logowania, ale inne podpisy mogą zatwierdzać zlecenia lub wydawanie tokenów. Brak opłaty za gas nie oznacza braku ryzyka. Zatwierdzenie lub permit może dać określonemu podmiotowi dostęp do konkretnego tokena. Transakcja może przesuwać środki lub zmieniać stan sieci. Jeśli portfel nie pokazuje zrozumiałej czynności lub nie potrafisz jej wyjaśnić, zatrzymaj się zamiast podpisywać w ciemno.
Sprawdź zakres i późniejszy wynik
Jeśli obsługiwany jest limit tokenów, sprawdź token, uprawniony podmiot i kwotę. W miarę możliwości ogranicz zgodę do planowanego zadania. Szacowany gas sprawdź osobno. Po transakcji zweryfikuj status i rzeczywiste zmiany tokenów w portfelu lub eksploratorze. Odłączenie strony usuwa połączenie, lecz nie cofa automatycznie nadal ważnego uprawnienia do wydawania tokenów.
Przykład: płatność to nie limit uprawnienia
Chcesz użyć w aplikacji 25 jednostek fikcyjnego TOKEN. Portfel prosi jednak o limit 10 000 TOKEN dla kontraktu. To zgoda na kwotę do 400 razy większą niż planowana, a nie potwierdzenie zapłaty 25 tokenów. Zwykłe uprawnienie dotyczy konkretnego tokena i uprawnionego podmiotu w danej sieci; dopóki obowiązuje, może obejmować również przyszłe wpłaty. Najpierw zweryfikuj podmiot, a następnie zmniejsz limit do 25, jeśli procedura to umożliwia, albo odrzuć prośbę. Niższy limit ogranicza kwotę narażoną przez tę zgodę, ale nie dowodzi wiarygodności kontraktu. Sam zakup lub wpłata to odrębna czynność, chyba że aplikacja wyraźnie łączy kroki.
Błędy tworzące niepotrzebne ryzyko
Uznawanie podpisu za nieszkodliwe logowanie
Czytaj domenę, cel, zakres tokenów i termin ważności, jeśli są pokazane. Niektóre podpisy poza blockchainem mogą później autoryzować działania w sieci. Bezpłatny podpis nie musi być nieszkodliwą wiadomością. Nie zatwierdzaj prośby tylko dlatego, że konto podające się za pomoc techniczną twierdzi, iż jest potrzebna do odblokowania środków.
Mylenie własności z gwarantowanym dostępem
Posiadanie tokena nie gwarantuje dalszej dostępności strony, pliku obrazu ani rynku. Tokeny zarządzania nie zapewniają automatycznie realnej kontroli, jeśli głosy są skoncentrowane lub administrator może unieważniać decyzje. Ustal, co jest zapisane w blockchainie, co zależy od zewnętrznych serwerów i kto może zmienić każdą część.
Przekonanie, że odłączenie cofa zgodę
Odłączenie strony i cofnięcie uprawnienia do tokenów to różne operacje. Sprawdzaj uprawnienia przez zaufany portfel lub eksplorator we właściwej sieci. Cofnięcie zgody w blockchainie zwykle wymaga gasu i zmienia przyszłe uprawnienia; nie odzyskuje już przelanych aktywów. Nie używaj przypadkowo przesłanego linku do „czyszczenia portfela”.
Ćwiczenie: oceń prośbę
Chcesz wpłacić 20 TOKEN. Strona żąda limitu 5 000 TOKEN, po czym twierdzi, że późniejsze odłączenie usunie zgodę. Co jest błędne w tym wyjaśnieniu i co trzeba sprawdzić przed kontynuowaniem?
Pokaż wyjaśnienie
Limit jest 250 razy większy od planowanej wpłaty. Odłączenie go nie cofa. Zweryfikuj stronę, sieć, kontrakt tokena i uprawniony podmiot; przeczytaj zakres zgody i zastosuj odpowiedni niższy limit, jeśli jest obsługiwany, albo odrzuć prośbę. Potwierdź wpłatę osobno i sprawdź pozostałe uprawnienia później. Ani udana transakcja, ani ograniczony limit nie dowodzą bezpieczeństwa aplikacji.
