Web3 на практике: что именно просит разрешить ваш кошелёк
Web3 — это приложения, использующие блокчейны, кошельки и общие протоколы для части своих функций. Примеры: обмен токенов, владение коллекционными объектами и управление сообществом. Это не отдельный интернет, в который нужно вступить, а ярлык Web3 не гарантирует децентрализацию, конфиденциальность или безопасность. Важно понять, что контролируете вы, а что по-прежнему зависит от оператора.
Задача урока: различать подключение кошелька, подпись и разрешение на расходование токенов, чтобы понять, соответствует ли запрос вашему намерению.
Три уровня приложения Web3
Сайт — это интерфейс
Страница в браузере показывает информацию и предлагает действия. Домен, хостинг, поисковая выдача и каналы поддержки могут контролироваться компанией или быть взломаны. Привычный вид экрана не доказывает, что вы взаимодействуете с нужным контрактом. Простой просмотр или проверка публичного адреса не должны требовать фразу восстановления.
Кошелёк управляет вашими полномочиями
Кошелёк управляет ключами и просит подтверждать действия. Обычное подключение обычно раскрывает выбранные публичные данные аккаунта; само по себе оно не разрешает тратить токены. Читайте каждый запрос: кошельки поддерживают и более широкие полномочия. В публичных сетях адреса и история транзакций видны, даже если вы никогда не подключались к сайту.
Контракты исполняют правила
Смарт-контракт исполняет программные правила в блокчейне. Токены могут обозначать балансы, право голоса или доступ, но не каждому полезному приложению нужен собственный токен. Проверьте, может ли администратор обновить, приостановить или изменить контракт. Интерфейсы, источники данных и сервисы узлов могут оставаться централизованными, даже если расчёты выполняются в блокчейне.
Проверьте запрос за три шага
Убедитесь в правильности адресата и сети
Начинайте с независимо проверенного адреса проекта, а не с нежелательного сообщения или рекламного результата поиска. Проверьте сеть, аккаунт и адрес контракта в кошельке. Одного тикера недостаточно для идентификации контракта токена. Прочитайте предлагаемое действие до подключения аккаунта с ценными активами.
Определите, что именно вы разрешаете
Подпись сообщения может служить для входа, но другие подписи могут разрешать исполнение ордеров или расходование токенов. Отсутствие платы за gas не означает отсутствие риска. Approve или permit может дать конкретному получателю разрешения доступ к конкретному токену. Транзакция может переводить средства или менять состояние блокчейна. Если кошелёк не показывает понятное действие или вы не можете его объяснить, остановитесь, а не подписывайте вслепую.
Проверьте объём полномочий и результат
Если поддерживается лимит расходования, проверьте токен, получателя разрешения и сумму. По возможности ограничьте полномочия нужной задачей. Оценку gas проверяйте отдельно. После транзакции проверьте статус и фактические изменения токенов в кошельке или обозревателе. Отключение сайта разрывает соединение, но не отменяет автоматически действующее разрешение на расходование токенов.
Пример: платёж и лимит разрешения — разные вещи
Вы хотите использовать в приложении 25 единиц вымышленного TOKEN. Однако кошелёк просит разрешить контракту расходовать до 10 000 TOKEN. Это полномочия на сумму в 400 раз больше запланированной, а не квитанция об оплате 25 токенов. Обычное разрешение относится к конкретному токену и получателю в конкретной сети; пока оно действует, под риск могут попасть и будущие пополнения. Сначала проверьте получателя, затем уменьшите лимит до 25, если процесс это поддерживает, либо отклоните запрос. Меньший лимит ограничивает сумму риска по этому разрешению, но не доказывает надёжность контракта. Сама покупка или внесение средств — отдельное действие, если приложение явно не объединяет шаги.
Ошибки, создающие лишний риск
Считать подпись безобидным входом
Читайте домен, назначение, охватываемые токены и срок действия, если они указаны. Некоторые внеблокчейновые подписи могут позже использоваться для разрешения действий в блокчейне. Бесплатная подпись не обязательно является безобидным сообщением. Не подтверждайте запрос только потому, что якобы сотрудник поддержки говорит, будто это нужно для разблокировки средств.
Путать владение с гарантированным доступом
Наличие токена не гарантирует доступность его сайта, файла изображения или торговой площадки в будущем. Токены управления не обеспечивают реального контроля автоматически, если голоса сосредоточены у немногих или администратор может отменять решения. Узнайте, что хранится в блокчейне, что зависит от внешних серверов и кто может изменить каждую часть.
Считать отключение отзывом разрешения
Отключение сайта и отзыв разрешения на токены — разные операции. Проверяйте разрешения через надёжный кошелёк или обозреватель в правильной сети. Отзыв в блокчейне обычно требует gas и изменяет будущие полномочия; уже переведённые активы он не возвращает. Не используйте случайную присланную ссылку для «очистки кошелька».
Упражнение: оцените запрос
Вы хотите внести 20 TOKEN. Сайт запрашивает лимит 5 000 TOKEN и утверждает, что последующее отключение удалит разрешение. В чём ошибка и что нужно проверить перед продолжением?
Показать объяснение
Лимит в 250 раз больше планируемого внесения. Отключение не отзывает разрешение. Проверьте сайт, сеть, контракт токена и получателя разрешения; изучите полномочия и задайте подходящий меньший лимит, если это возможно, либо отклоните запрос. Подтвердите внесение отдельно и затем проверьте оставшиеся разрешения. Ни успешная транзакция, ни ограниченный лимит не доказывают безопасность приложения.
