Руководство по безопасности активов на Весенний фестиваль: как защитить свои токены во время посещения родственников и друзей и отдыха?

Статья: imToken

Приближается лунный Новый год, время прощания с прошлым и встречи нового, а также момент для повторного обзора:

За прошедший год были ли вы обмануты проектами Rug Pull, которые сбежали с вашими средствами? Бывали ли случаи, когда из-за рекламы от популярных KOL вы «купили и сразу оказались на мели»? Или же вы столкнулись с все более распространёнными фишинговыми атаками, потеряв деньги из-за случайного перехода по вредоносной ссылке или подписания вредоносного контракта?

Объективно говоря, сам праздник не создает рисков, но он может их усилить — когда увеличивается частота движения средств, когда внимание отвлекается на праздничные мероприятия, когда торговый ритм ускоряется, даже малейшая ошибка может привести к значительным потерям.

Поэтому, если вы планируете в преддверии праздника корректировать позиции или приводить в порядок свои средства, стоит сначала провести «предновогоднюю проверку безопасности» вашего кошелька. В этой статье мы рассмотрим несколько реальных и часто встречающихся сценариев риска и предложим конкретные действия для обычных пользователей.

1. Осторожно с мошенничеством на основе «AI-замены лица» и имитации голоса

Недавний популярный проект SeeDance 2.0 снова напомнил всем, что в эпоху ускоренного внедрения AGI «видеть — значит верить» уже не работает.

Можно сказать, что с 2025 года технологии AI для видеосъемки и голосовых мошенничеств значительно совершенствовались: клонирование голоса, смена лица на видео, имитация выражений и интонаций — всё это стало доступно на низком пороге входа и может масштабироваться как промышленный стандарт.

На самом деле, на базе AI уже можно точно воспроизвести голос человека, его темп речи, паузы и даже микроэкспрессии. Это означает, что во время праздников такие риски особенно легко могут быть усилены.

Например, вы возвращаетесь домой или на встрече с близкими, и на экране появляется сообщение — «друг» из вашего контакта через Telegram или WeChat прислал голосовое или видео сообщение с настоятельной просьбой: ограничение аккаунта, срочный перевод небольшого количества токенов, временная помощь с балансом — всё это выглядит очень убедительно.

Голос кажется естественным, а видео — даже «реальный человек на камеру». В условиях, когда внимание рассеяно, как определить подлинность?

Если бы это было раньше, то проверка по видео считалась бы самой надежной, но сегодня даже разговор с человеком, у которого включена камера, не гарантирует подлинность.

В такой ситуации полагаться только на просмотр видео или прослушивание голоса уже недостаточно. Более надежный способ — установить отдельную проверку с близкими (семьёй, партнёрами, долгосрочными соработниками), например, использовать секретный оффлайн-код, известный только вам и им, или задать вопросы, на которые можно ответить только по личной информации, недоступной публично.

Также важно пересмотреть распространённую тактику — переход по ссылкам, присланным знакомыми. В период праздников «чаты», «аирдропы» и «промоакции» часто используют вирусные методы распространения. Многие не обманывают незнакомцы, а доверяют знакомым, переходя по поддельным страницам авторизации.

Поэтому важно помнить простое, но очень важное правило: не кликайте на неизвестные ссылки в соцсетях и мессенджерах, даже если они пришли от знакомых, и не давайте разрешения на доступ, если не уверены.

Все операции в блокчейне лучше выполнять через официальные сайты или доверенные ресурсы, а не в чатах.

2. Проведите «годовую генеральную уборку» вашего кошелька

Если первая категория рисков связана с доверием, основанным на подделке, то вторая — это скрытые риски, накопленные вами за долгое время.

Известно, что авторизация — одна из самых базовых и при этом часто игнорируемых функций в DeFi. Когда вы взаимодействуете с DApp, по сути, вы предоставляете контракту право распоряжаться вашими токенами. Это может быть разовая авторизация или постоянное разрешение, с лимитом или без него, действующее недолго или бессрочно.

В конечном итоге, такие разрешения не всегда вызывают немедленные опасения, но они создают постоянную уязвимость. Многие считают, что если средства не хранятся прямо в контракте, то безопасность не под угрозой. Но в условиях бычьего рынка пользователи часто активно участвуют в новых протоколах, участвуют в аирдропах, стейкинге, майнинге и взаимодействуют с контрактами, накапливая разрешения. Когда «пузырь» лопнет, многие из этих протоколов перестанут использоваться, а разрешения останутся.

Со временем такие «забытые» разрешения превращаются в ключи, которые могут быть использованы злоумышленниками при обнаружении уязвимости в контракте. Это может привести к потерям.

Праздник — отличное время для системной проверки разрешений. Перед праздником рекомендуется провести ревизию и отменить неиспользуемые разрешения, особенно с неограниченным лимитом; установить лимиты для крупных активов; разделить хранение долгосрочных средств и активов для ежедневных операций, создавая структуру «горячий» и «холодный» кошелек.

Ранее для этого приходилось использовать сторонние сервисы (например, revoke.cash), а сейчас такие функции встроены в большинство популярных кошельков, включая imToken, — можно прямо внутри приложения просматривать и управлять разрешениями.

В конечном счёте, безопасность кошелька — это не вопрос полного отказа от разрешений, а принцип минимальных прав: давать только необходимые разрешения и своевременно их отзывать, когда они больше не нужны.

3. Путешествия, социальные контакты и повседневные операции — не расслабляйтесь

Если первые два риска связаны с технологическими новшествами и накоплением разрешений, то третий — это изменение окружающей среды.

Праздничные поездки (в деревню, в отпуск, на встречи с родственниками) часто связаны с частой сменой устройств, нестабильной сетью и насыщенной социальной обстановкой. В таких условиях уязвимость управления приватными ключами и безопасность операций особенно возрастает.

Пример — управление мнемонической фразой. Скриншоты, сохранённые в фотоальбом, облачные хранилища или пересылка через мессенджеры — всё это ради удобства, но в мобильных условиях такие практики создают серьёзные риски.

Помните: мнемоническая фраза должна храниться только в оффлайн-режиме, вне доступа к сети.

Также важно соблюдать границы в общении. Например, показывать крупные балансы или обсуждать конкретные позиции в компании на публичных встречах — это может стать источником угроз. Особенно опасно — под предлогом «обмена опытом» или «обучения» предлагать скачать поддельные кошельки или плагины.

Все загрузки и обновления кошельков должны проходить только через официальные источники, а не через ссылки в чатах.

Перед отправкой транзакции обязательно проверьте три параметра: сеть, адрес и сумму. Уже было много случаев, когда крупные инвесторы ошибались из-за похожих адресов, и подобные фишинговые атаки продолжают развиваться:

Злоумышленники создают множество адресов с похожими началом и концом, чтобы заманить жертв. При переводе средств по ошибке на такой адрес, злоумышленник использует автоматизированные скрипты для быстрого захвата и последующего использования.

Некоторые пользователи просто копируют адрес из истории транзакций, не проверяя полностью, что это правильный адрес, — и попадаются на ловушку. По словам основателя SlowMist Ю Цзюня, такие атаки — «ловля рыбы в сети»: злоумышленники используют массовое создание адресов, а жертвы — просто попадаются.

Из-за очень низких затрат на газ злоумышленники могут массово «подсадить» сотни или тысячи адресов, ожидая ошибок при копировании. Один успешный случай приносит прибыль, превышающую затраты.

Эти проблемы — не только вопрос технологий, а привычек пользователей:

• Внимательно проверяйте каждый символ адреса, а не только его начало и конец;
• Не копируйте адрес без проверки из истории транзакций;
• Перед отправкой крупной суммы делайте тестовую транзакцию на небольшую сумму;
• Используйте функции белого списка адресов для постоянного управления часто используемыми адресами.

В системе, где доминируют EOA-аккаунты, ответственность за безопасность лежит на самом пользователе — это его первая и последняя линия защиты (см. также «33.5 миллиарда долларов налогов на аккаунты: что даст системный рост стоимости EOA и что может принести Web3 концепция AA?»).

Заключение

Многие считают, что блокчейн-мир слишком опасен и не дружелюбен к обычным пользователям.

Правда в том, что Web3 сложно сделать полностью безрисковым, но его можно превратить в управляемую среду риска.

Например, Новый год — это время для замедления ритма, для системной ревизии рисков. Вместо того чтобы в спешке вносить изменения в последний момент, лучше заранее провести проверку безопасности; вместо исправлений после ошибок — оптимизировать разрешения и привычки.

Желаю всем безопасного и благополучного праздника, а также чтобы ваши активы в блокчейне в новом году росли стабильно и без проблем.