Посібник з безпеки активів на Свято Весни: як захистити свої Token під час відвідування родичів і друзів та відпочинку

Стаття: imToken

Близиться Лунний Новий рік, знову час прощатися зі старим і зустрічати нове, а також настав момент для повторного огляду:

За минулий рік чи не натрапляли ви на схеми Rug Pull, коли проєкти зникали з ринку? Чи не купували ви «по рекомендації» від популярних KOL, які потім зникали з вашими коштами? Або не ставали жертвами все більшої кількості фішингових атак, через випадкове натискання на підозрілі посилання або підписання шахрайських контрактів?

Об’єктивно кажучи, Новий рік сам по собі не створює ризиків, але він може їх посилювати — коли частота руху капіталу зростає, увага розсіюється через святкові заходи, а торгівельний ритм прискорюється, будь-яка дрібна помилка стає більш вразливою і може призвести до значних втрат.

Тому, якщо ви плануєте під час свят коригувати позиції або організовувати свої фінанси, радимо спершу зробити «сезонний безпечний огляд» вашого гаманця. У цій статті ми розглянемо кілька реальних і часто зустрічних ризиків, а також конкретні дії, які може зробити звичайний користувач.

1. Обережно з «AI-заміною обличчя» та голосовими шахрайствами

Останнім часом популярна платформа SeeDance 2.0 знову нагадала всім, що в епоху швидкого проникнення штучного інтелекту «бачити — значить вірити» вже не працює.

Можна сказати, що з 2025 року технології AI для відео та голосових шахрайств вже досить розвинуті, включаючи голосове клонування, заміну обличчя у відео, реальне відтворення міміки та інтонації — і все це стає доступним навіть для непрофесіоналів, з низьким порогом входу і можливістю масштабного копіювання.

Насправді, на базі AI вже можна точно відтворити голос, темп мовлення, паузи і навіть мікроекспресії людини. Це означає, що під час свят, коли увага розсіяна, ризик таких атак особливо зростає.

Наприклад, ви повертаєтеся додому або перебуваєте на зустрічі з близькими, і раптом на телефоні з’являється повідомлення від «друга» через Telegram або WeChat — голосове або відео, з емоційним тоном, що нібито повідомляє про обмеження доступу до акаунту, необхідність швидко переказати невелику суму або отримати «кредит» у криптовалюті, — і просить вас негайно переказати кошти.

Голос звучить природно, а у відео навіть може бути «реальна людина». У такій ситуації, коли увага розсіяна через святкові обставини, як ви визначите, що це шахрайство?

Якщо раніше для підтвердження особи достатньо було переглянути відео, то сьогодні навіть з камерою, що веде діалог, довіряти цій інформації вже не можна на 100%.

У такій ситуації, просто дивитися відео або слухати голос уже недостатньо для підтвердження. Надійніше — мати окремий механізм підтвердження, наприклад, секретний офлайн-код, відомий лише вам і близьким, або деталі, які важко визначити з публічної інформації.

Крім того, потрібно знову звернути увагу на поширену схему ризику — посилання, яке пересилає знайомий. Зазвичай, під час свят «чекати» на «чорний» або «роздачу» у Web3 дуже легко — багато хто довіряє знайомим і натискає на підроблені сторінки авторизації, не підозрюючи про шахрайство.

Тому важливо пам’ятати простий, але дуже важливий принцип: не натискайте на посилання з незнайомих джерел у соцмережах і не надавайте дозволи, навіть якщо посилання надійшло від «знайомого».

Усі операції в мережі краще виконувати через офіційні сайти або довірені ресурси, а не у чатах.

2. Проведіть «річний фінансовий прибирання» гаманця

Якщо перша група ризиків пов’язана з довірою, яку штучний інтелект може підробити, то друга — з нашою власною довгостроковою накопиченою вразливістю.

Відомо, що авторизація — це найпростіший і найчастіше ігнорований механізм у DeFi. Коли ви взаємодієте з DApp, ви фактично надаєте смарт-контракту право керувати певною кількістю ваших токенів. Це може бути одноразова або безстрокова авторизація, з обмеженнями або без них, короткострокова або тривала.

Загалом, сама по собі авторизація не є безпосереднім ризиком, але вона створює постійний канал потенційної уразливості. Багато користувачів помилково вважають, що якщо активи не зберігаються безпосередньо у смарт-контракті, то безпека не під загрозою. Але під час буму ринку багато хто активно тестує нові протоколи, бере участь у роздачах, стейкінгу, майнінгу і взаємодіє з різними контрактами, накопичуючи авторизації. Коли інтерес зменшується, багато протоколів вже не використовуються, але дозволи залишаються активними.

З часом, ці «зайві» авторизації стають схожими на незамкнені ключі — якщо уразливий контракт відкриває дірки, це може призвести до втрат.

З настанням святкового періоду — це ідеальний час для системної перевірки своїх дозволів:

• скасувати авторизації, що вже не використовуються, особливо з необмеженим доступом;
• для великих активів використовувати обмежені дозволи, а не відкривати весь баланс;
• розділити зберігання довгострокових активів і щоденних операцій, створюючи структуру «гарячих» і «холодних» гаманців.

Раніше для цього доводилося користуватися сторонніми сервісами (наприклад, revoke.cash), але сучасні гаманці, зокрема imToken, вже мають вбудовані функції перевірки і скасування авторизацій.

Загалом, безпека гаманця — це не питання «ніколи не давати дозволів», а принцип мінімальних прав — надавати лише необхідний доступ і у разі потреби швидко його відкликати.

3. Під час подорожей, у соцмережах і в повсякденних операціях — не знижуйте пильність

Якщо перша і друга групи ризиків виникають через технологічний прогрес і накопичення дозволів, то третя — через зміну навколишнього середовища.

Під час свят, коли ви подорожуєте, перебуваєте у гостях або спілкуєтеся з близькими, — це означає часту зміну пристроїв, складний мережевий оточуючий простір і активну соціальну взаємодію. У таких умовах управління приватними ключами і щоденні операції стають більш вразливими.

Наприклад, збереження мнемонічної фрази у фотогалереї, хмарних сервісах або пересилання її через месенджери — поширена практика для зручності, але вона створює серйозний ризик.

Тому пам’ятайте: мнемонічну фразу потрібно зберігати фізично, ізоляція від інтернету — найкращий захист.

У соціальних ситуаціях також важливо дотримуватися меж. Показ великих балансів або обговорення конкретних активів у компанії може випадково спричинити ризики. Особливо слід бути обережним із пропозиціями «поділитися досвідом» або «навчити», які можуть бути прикриттям для поширення фішингових додатків або плагінів.

Всі додатки для гаманців та оновлення слід завантажувати лише з офіційних джерел, а не через посилання у чатах.

Перед переказом обов’язково перевірте три ключові моменти: мережу, адресу і суму. Вже траплялися випадки, коли через схожі перші і останні символи адреси великі втрати. А фішингові атаки, що використовують підроблені адреси, — вже не рідкість.

Згідно з дослідженнями, зокрема, від SlowMist, атаки на основі підробки адрес — це гра в «ловлюй за хвіст», коли зловмисники створюють багато адрес із схожими першим і останнім символами, і чекають, поки користувачі випадково скопіюють неправильну адресу.

Через низьку вартість газу хакери можуть масово створювати сотні або тисячі фальшивих адрес, щоб підставити їх під час копіювання. Успіх такої атаки окупається багатократно.

Це не складна технічна проблема, а питання звичок користувачів:

• ретельно перевіряйте всі символи адреси, а не лише перші і останні;
• не копіюйте адреси з історії без перевірки;
• перед великим переказом робіть тестову транзакцію з невеликою сумою;
• використовуйте функцію білого списку для часто використовуваних адрес.

У сучасних системах, з переважанням EOA-акаунтів, відповідальність за безпеку — це ваша особиста справа і останній рубіж захисту (див. також «33.5 мільярдів доларів у «податкових» рахунках: що дає системна вартість EOA і що може принести Web3 у майбутньому?»).

Наприкінці

Багато хто вважає, що світ у блокчейні надто небезпечний і не дружній до звичайних користувачів.

Об’єктивно, Web3 не може гарантувати повну відсутність ризиків, але він може стати середовищем, де ризики можна управляти.

Наприклад, святковий період — це час для зменшення ризиків і перегляду своєї безпеки. Замість того, щоб у святкові дні поспішно щось робити, краще заздалегідь провести перевірку безпеки. Замість виправляти помилки потім — краще заздалегідь оптимізувати дозволи і звички.

Бажаємо всім безпечного і успішного святкування, а також щоб ваші активи у блокчейні були стабільними і безпечними у новому році.