DeFi-кошелек

Что такое DeFi-кошелек?

DeFi-кошелек — это криптовалютный кошелек, который позволяет управлять блокчейн-аккаунтами и напрямую взаимодействовать с протоколами децентрализованных финансов.

С его помощью можно хранить криптоактивы, отправлять транзакции, обменивать токены, предоставлять ликвидность, выдавать займы, брать займы под залог, размещать активы в стейкинге, переводить токены между сетями, голосовать по вопросам управления и управлять другими ончейн-позициями.

Большинство DeFi-кошельков некастодиальные: это означает, что пользователь контролирует криптографические средства, необходимые для перевода активов и подтверждения действий смарт-контрактов.

Как правило, поставщик некастодиального кошелька не может сбросить настройки блокчейн-аккаунта, отменить подтвержденную транзакцию или восстановить активы, если пользователь утратил все действительные способы восстановления доступа.

Криптовалюта не хранится физически внутри приложения кошелька.

Вместо этого балансы и записи о владении хранятся в блокчейне, а кошелек управляет ключами, аккаунтами и интерфейсом, с помощью которых пользователь распоряжается активами.

В официальном руководстве Ethereum по использованию кошелька кошелек описывается как интерфейс для просмотра аккаунта и отправки транзакций, а не как место хранения самого аккаунта.

DeFi-кошелек может представлять собой мобильное приложение, расширение браузера, программу для компьютера, интерфейс для работы с аппаратным кошельком, веб-приложение, мультисиг-аккаунт или программируемый смарт-аккаунт.

Как работает DeFi-кошелек?

DeFi-кошелек создает блокчейн-аккаунт, импортирует его или подключается к нему.

Обычно аккаунт включает публичный адрес, на который можно получать криптовалюту, и приватный способ авторизации, позволяющий подписывать транзакции.

Когда пользователь открывает децентрализованное приложение, оно может запросить подключение к кошельку.

После подтверждения подключения кошелек может передать выбранный публичный адрес и сеть.

Затем приложение может запрашивать транзакции, разрешения на использование токенов, сообщения, разрешения permit или другие подписи.

Кошелек отображает запрос и предлагает пользователю подтвердить или отклонить его.

После подтверждения кошелек создает криптографическую подпись с помощью приватного ключа аккаунта или другого разрешенного способа подписания.

Подписанная транзакция передается в блокчейн через сетевое подключение, обычно называемое конечной точкой удаленного вызова процедур.

Валидаторы и другие участники сети обрабатывают транзакцию в соответствии с правилами консенсуса блокчейна.

Затем кошелек считывает обновленное состояние блокчейна и отображает новый баланс или DeFi-позицию.

DeFi-кошелек и блокчейн-аккаунт: в чем разница?

Блокчейн-аккаунт — это адрес и структура авторизации, распознаваемые блокчейн-сетью.

DeFi-кошелек — это программный или аппаратный интерфейс для управления таким аккаунтом.

К одному и тому же совместимому аккаунту часто можно получить доступ через несколько интерфейсов кошелька.

Удаление приложения кошелька не удаляет блокчейн-аккаунт и не стирает активы, записанные по его адресу.

Чтобы восстановить доступ, пользователь должен располагать правильной фразой восстановления, приватным ключом, ключом доступа (Passkey), системой доверенных лиц или другим поддерживаемым способом восстановления.

Это объясняет, почему приложение кошелька может исчезнуть, а связанная с ним криптовалюта при этом остается видимой в блокчейне.

DeFi-кошелек и DeFi-протокол: в чем разница?

DeFi-кошелек управляет блокчейн-аккаунтами и подписывает запросы.

DeFi-протокол — это набор смарт-контрактов, который предоставляет финансовые функции, например выдачу займов, обмен токенов, стейкинг, деривативы или пулы ликвидности.

Кошелек может подключаться к протоколу, не контролируя его код, резервы, управление или безопасность.

Даже защищенный кошелек может взаимодействовать с уязвимым или мошенническим протоколом.

К легитимному протоколу также можно подключиться через поддельный сайт, который показывает вредоносные запросы на подпись.

Поэтому пользователям следует отдельно оценивать кошелек, сайт, смарт-контракты, адреса токенов и экономические риски.

Некастодиальный DeFi-кошелек

Некастодиальный DeFi-кошелек дает пользователю прямой контроль над полномочиями для подписания транзакций аккаунта.

Как правило, разработчик кошелька не может перевести активы пользователя без действительной подписи или уже предоставленного разрешения смарт-контракту.

Некастодиальное хранение позволяет пользоваться совместимыми децентрализованными приложениями, не запрашивая у централизованного оператора аккаунта подтверждение каждого действия.

При этом пользователь отвечает за резервное копирование и безопасность, проверку транзакций, вредоносные разрешения, безопасность устройства и план восстановления доступа.

В руководстве Ethereum по созданию аккаунта предупреждают о рисках некастодиального хранения, включая фишинг, поддельные сайты, утечку фраз восстановления и случайное подтверждение транзакций.

Кастодиальный кошелек

Кастодиальный кошелек контролируется организацией, которая управляет приватными ключами или эквивалентными полномочиями на вывод средств пользователей.

Обычно клиенты получают доступ к сервису с помощью имени пользователя, пароля, многофакторной аутентификации и процедуры восстановления аккаунта.

Кастодиальные сервисы могут упростить восстановление пароля и обращение за помощью.

В то же время они связаны с рисками контрагента, неплатежеспособности, блокировки аккаунта, конфиденциальности, вывода средств, кибербезопасности и операционной деятельности.

Сервис может предоставлять доступ к DeFi-продуктам, не передавая клиенту прямой контроль над ключами для подписания транзакций.

Пользователям следует выяснить, кто может авторизовать блокчейн-транзакции, а не ориентироваться только на слово «кошелек».

Горячий DeFi-кошелек

Горячий кошелек использует подключенный к интернету телефон, браузер, планшет или компьютер для подготовки и подписания транзакций с криптовалютой.

Горячие кошельки удобны для частого взаимодействия с DeFi.

Однако они могут подвергаться воздействию вредоносного ПО, фишинговых страниц, вредоносных расширений браузера, похищенных сессий, программ удаленного доступа и зараженных устройств.

Как правило, в горячем кошельке следует хранить только сумму, необходимую для предполагаемых операций.

Отдельный кошелек для экспериментальных операций с DeFi помогает ограничить ущерб от одной вредоносной транзакции и не подвергать долгосрочные активы тому же риску.

Холодные и аппаратные кошельки

Аппаратный кошелек хранит ключи для подписания транзакций или защищает их на специальном устройстве.

Подключенный интерфейс DeFi-кошелька подготавливает предлагаемую транзакцию и отправляет ее на аппаратное устройство для подтверждения.

Предполагается, что приватный ключ остается внутри специальной среды для подписания.

Такая структура может снизить риск кражи ключа с зараженного компьютера.

Однако она не помешает владельцу подтвердить вредоносную транзакцию.

По возможности пользователю следует проверять сеть, актив, адрес получателя, сумму, контракт и запрашиваемое разрешение на дисплее доверенного устройства.

Аппаратный кошелек защищает ключи, но не заменяет тщательную проверку транзакций.

Мобильный DeFi-кошелек

Мобильный DeFi-кошелек работает на смартфоне или планшете.

Он может поддерживать биометрическую разблокировку, сканирование QR-кодов, push-уведомления, просмотр децентрализованных приложений и подключение по диплинкам.

Мобильные кошельки удобны для частых транзакций, но их безопасность зависит от операционной системы и установленных приложений.

Пользователям следует установить надежный код доступа к устройству, включить автоматическую блокировку и регулярно обновлять программное обеспечение, а также настроить отдельную аутентификацию кошелька.

Не следует хранить фразу восстановления в виде обычного скриншота в галерее того же телефона или в его облачной резервной копии.

Кошелек — расширение браузера

Кошелек в виде расширения браузера предоставляет функции блокчейн-аккаунта прямо в веб-браузере.

Он может обнаруживать децентрализованные приложения и показывать запросы на подключение, подпись, разрешение и проведение транзакции.

Стандарт EIP-1193 определяет общий интерфейс, с помощью которого приложения Ethereum могут запрашивать удаленные вызовы процедур и получать сведения об аккаунте или событиях в сети.

Браузерные кошельки обеспечивают удобный доступ к DeFi, но работают в одной среде с сайтами, расширениями, скриптами и хранилищем браузера.

Устанавливать расширения следует только по ссылке, опубликованной подтвержденным издателем кошелька.

Поддельное расширение может копировать внешний вид легитимного кошелька, похищая при этом данные для восстановления или изменяя сведения о транзакциях.

Использование нескольких браузерных кошельков

Несколько установленных расширений-кошельков могут одновременно пытаться подключиться к одному децентрализованному приложению.

Стандарт обнаружения нескольких провайдеров EIP-6963 позволяет совместимым кошелькам объявлять о себе по отдельности, чтобы пользователь мог выбрать нужный провайдер.

Это упрощает выбор кошелька и уменьшает число конфликтов, связанных с общим объектом провайдера браузера.

Перед подтверждением запроса пользователям все равно необходимо проверить выбранный кошелек, аккаунт, домен и сеть.

DeFi-кошелек для компьютера

Десктопный кошелек устанавливается на компьютер как отдельная программа.

Он может предоставлять расширенные инструменты для просмотра портфеля, интеграцию с аппаратными кошельками, настройку сети, историю транзакций и инструменты для работы с валидаторами.

Десктопный кошелек может подвергаться риску из-за зараженных установщиков, вредоносных средств удаленного доступа, программ для перехвата данных из буфера обмена и небезопасных программ, установленных на том же компьютере.

Установочные файлы следует загружать из проверенного официального источника.

Если разработчик предоставляет подписи программного обеспечения или хеши файлов, они могут служить дополнительным способом проверки подлинности.

Публичный адрес кошелька

Публичный адрес кошелька идентифицирует блокчейн-аккаунт, который может получать активы и взаимодействовать со смарт-контрактами.

Как правило, раскрытие адреса не дает контроля над аккаунтом.

По адресу могут быть видны публичные сведения о балансах, переводах, разрешениях на использование токенов, участии в управлении и DeFi-позициях.

Связь общедоступной личности с адресом, на котором хранятся ценные активы, может создать риски для конфиденциальности и личной безопасности.

Публичный адрес не следует путать с приватным ключом или фразой восстановления.

Приватный ключ

Приватный ключ — это секретная криптографическая информация, используемая для авторизации действий с блокчейн-аккаунта.

Тот, кто получит ключ, может получить возможность переводить активы и подтверждать действия смарт-контрактов.

Пароль кошелька может защищать зашифрованную локальную копию ключа, однако смена пароля не делает недействительным блокчейн-ключ.

Если приватный ключ стал известен посторонним, оставшиеся активы следует перевести на новый аккаунт, созданный с помощью незатронутых компрометацией ключевых данных.

Никогда не вводите приватный ключ на сайте DeFi, в сообщении службы поддержки, при получении токенов или в онлайн-форме проверки.

Сид-фраза

Сид-фраза — это последовательность слов, с помощью которой многие кошельки генерируют и восстанавливают блокчейн-аккаунты.

Ее также называют фразой восстановления или мнемонической фразой.

Тот, кто получит эту фразу, может восстановить все созданные на ее основе аккаунты.

Фразу следует сохранить офлайн и защитить от кражи, фотографирования, огня, воды, случайного выбрасывания и несанкционированного доступа.

Децентрализованному приложению не нужна фраза восстановления, чтобы подключиться к кошельку.

В разделе часто задаваемых вопросов службы поддержки Ethereum указано, что никто не может сбросить пароль некастодиального кошелька или восстановить доступ за пользователя. Там также предупреждают о недопустимости передачи сид-фразы тем, кто якобы помогает восстановить доступ.

Пароль кошелька

Пароль кошелька обычно защищает доступ к приложению или зашифрованному файлу ключа на одном устройстве.

Он не заменяет сид-фразу или приватный ключ.

Если у человека есть фраза восстановления, пароль приложения может ему не понадобиться для контроля над аккаунтом.

Даже если человек помнит пароль, он может не суметь восстановить аккаунт после потери устройства и данных для восстановления.

Пароль должен быть длинным, уникальным и храниться в безопасном месте.

Подключение DeFi-кошелька

При подключении кошелька децентрализованное приложение обычно получает доступ к выбранному публичному адресу и поддерживаемой сети.

Обычное подключение, как правило, не дает приложению разрешения переводить токены.

Позже приложение может запросить транзакции, разрешения на использование токенов, сообщения, разрешения permit или права на аккаунт.

Каждый запрос следует проверять отдельно.

Отключение кошелька завершает активную сессию приложения, но не удаляет автоматически разрешения, сохраненные в блокчейне.

Протоколы подключения кошелька

Протокол подключения может связать мобильный или десктопный кошелек с децентрализованным приложением, запущенным в другом браузере или на другом устройстве.

Для создания зашифрованной сессии пользователь может отсканировать QR-код или открыть диплинк.

Кошелек должен отображать запрашивающее приложение, аккаунт, сеть и предлагаемые разрешения.

QR-код не подтверждает подлинность подключенного сайта.

Чтобы избежать путаницы и неожиданных запросов на подпись, следует отключать старые или неиспользуемые сессии.

Подписание транзакции

Подпись транзакции подтверждает, что уполномоченный аккаунт одобрил действие в блокчейне.

Это действие может заключаться в переводе криптовалюты, обмене токенов, внесении обеспечения, займе активов, погашении долга, переводе средств между сетями или вызове другой функции смарт-контракта.

Перед подтверждением кошелек должен показать сеть, адрес получателя, сумму, контракт, функцию и расчетную комиссию.

Обычному пользователю, как правило, сложно или невозможно отменить подтвержденную транзакцию в блокчейне.

В официальных рекомендациях службы поддержки Ethereum поясняется, что блокчейн-транзакции являются окончательными и центральная служба поддержки Ethereum не может их отменить.

Подписание сообщений

Кошелек может подписать сообщение, не отправляя немедленно транзакцию в блокчейн.

Подписи сообщений могут использоваться для входа в аккаунт, управления, офчейн-ордеров, разрешений на токены, делегирования аккаунта и других видов авторизации.

Подпись без комиссии за газ все равно может иметь серьезные финансовые последствия.

Не следует считать безопасным любое сообщение, обозначенное как запрос на вход.

Перед подписанием необходимо разобраться в домене, аккаунте, сети, сроке действия, контракте и запрашиваемом разрешении.

Подписание типизированных данных

При подписании типизированных данных сообщение представлено в виде структурированных полей, а не нечитаемой последовательности закодированных байтов.

Стандарт EIP-712 определяет подписание структурированных данных для приложений Ethereum.

Поля могут содержать сведения о токене, расходующем средства адресе, сумме, ордере, сроке действия, контракте или идентификаторе сети.

Понятное отображение информации повышает прозрачность, но само по себе не делает запрос надежным.

Вредоносный запрос остается вредоносным, даже если все его поля отображаются правильно.

Понятное подписание

Понятное подписание (clear signing) означает, что перед подтверждением последствия транзакции отображаются понятным пользователю языком.

Эта функция призвана снизить риск слепого подписания, при котором пользователь подтверждает закодированные данные, не понимая, что они делают.

В мае 2026 года Ethereum Foundation объявила о согласованной инициативе по внедрению понятного подписания, направленной на повышение безопасности при подтверждении транзакций.

Кошелек с качественной поддержкой понятного подписания может распознавать переводы, разрешения на использование токенов, запросы на делегирование и важные риски.

Понятное подписание — это функция безопасности, а не гарантия того, что протокол или транзакция экономически целесообразны.

Симуляция транзакций

DeFi-кошелек может симулировать предлагаемую транзакцию до того, как пользователь ее подпишет.

Симуляция может оценить перемещения токенов, изменение баланса, разрешения, вызовы смарт-контрактов и возможные ошибки.

Это может помочь обнаружить вредоносный перевод, скрытый за вводящей в заблуждение кнопкой на сайте.

Результаты симуляции не гарантированы: до выполнения транзакции состояние блокчейна может измениться.

Кроме того, контракт может зависеть от последующих транзакций, внешних данных или поведения, которое симуляция не воспроизводит полностью.

Разрешения на использование токенов

Разрешение на использование токенов дает смарт-контракту или адресу право потратить указанное количество токенов пользователя.

Такие разрешения часто требуются для децентрализованного обмена, займов, стейкинга и предоставления ликвидности.

Неограниченное разрешение может позволить расходующему адресу использовать весь текущий и будущий баланс этого токена в кошельке.

Если кошелек и протокол поддерживают такую возможность, пользователям следует ограничивать разрешение суммой, необходимой для операции.

В обновленном руководстве Ethereum по отзыву доступа к токенам поясняется, что отключение кошелька не удаляет разрешения на использование токенов. В руководстве также рекомендуется регулярно отзывать ненужные разрешения.

Для отзыва разрешения обычно требуется отдельная транзакция в блокчейне и комиссия сети.

Подписи permit

Permit позволяет некоторым токенам создавать или изменять разрешение с помощью подписанного сообщения.

Стандарт ERC-2612 permit позволяет изменять разрешения без необходимости самостоятельно отправлять исходную транзакцию подтверждения владельцу токена.

Мошенник может выдать permit за вход в аккаунт, получение бесплатного вознаграждения или проверку кошелька.

Позднее подписанный permit может быть отправлен в блокчейн другой стороной.

Перед подписанием пользователям следует проверить токен, расходующий адрес, сумму, сеть, nonce и срок действия.

Комиссии за газ

Газ — это мера вычислительных ресурсов, необходимых для обработки транзакций во многих сетях смарт-контрактов.

Обычно пользователь платит за газ нативной криптовалютой блокчейна.

Даже за неудачную транзакцию со смарт-контрактом может взиматься комиссия: участники сети успели выполнить вычислительную работу до возникновения ошибки.

Кошелек рассчитывает необходимую комиссию с учетом текущих условий сети и предлагаемого действия.

Итоговая комиссия может отличаться от первоначальной оценки.

Даже если за действие платит спонсор или оно не требует оплаты газа от пользователя, подпись или перевод все равно могут быть вредоносными.

Обмен токенов

DeFi-кошелек может включать интерфейс для обмена одной криптовалюты на другую с использованием децентрализованной ликвидности.

Кошелек может запрашивать котировки, сравнивать доступные маршруты, подготавливать разрешения на использование токенов и отправлять транзакцию обмена.

Пользователям следует проверять исходный и получаемый токены, адрес контракта, обменный курс, минимальную сумму получения, влияние на цену, комиссию маршрутизации и допустимое проскальзывание.

Интегрированный интерфейс обмена не исключает риски, связанные со смарт-контрактами, ликвидностью, токенами, оракулами или манипулированием рынком.

Кредитование и займы

DeFi-кошелек может подключаться к протоколам кредитования, принимающим депозиты криптовалюты и выдающим займы под обеспечение.

Внесение активов может сопровождаться выдачей токена-квитанции или созданием позиции аккаунта, отражающей депозит.

При займе возникает долг, который может увеличиваться за счет процентов.

Снижение стоимости обеспечения может привести к ликвидации.

Пользователям следует понимать коэффициенты обеспечения, изменения процентных ставок, зависимость от оракулов, штрафы за ликвидацию, доступную ликвидность и риски смарт-контрактов.

Интерфейс кошелька не может гарантировать, что протокол кредитования останется платежеспособным и безопасным.

Стейкинг через DeFi-кошелек

DeFi-кошелек может предоставлять доступ к нативному, делегированному, пуловому или ликвидному стейкингу через смарт-контракты.

Вознаграждения за стейкинг могут компенсировать участникам поддержку валидации сети или связанных с ней сервисов.

К возможным рискам относятся слешинг, блокировка активов, сбои валидатора, уязвимости смарт-контрактов, изменение цены токена и задержки при выводе средств.

Отображаемая годовая доходность не является гарантированной прибылью в традиционной валюте.

Пользователям следует выяснить, предоставляет ли кошелек прямой доступ к протоколу или направляет средства через дополнительный сервис или контракт.

Пулы ликвидности

С помощью DeFi-кошелька можно внести криптовалюту в пул ликвидности.

Пользователь может получить токен или ончейн-позицию, отражающую его долю в пуле.

К возможному доходу относятся комиссии за транзакции и вознаграждения в токенах.

К возможным убыткам относятся расхождение цен, низкая ликвидность, эксплойты контрактов, мошеннические токены и снижение ставок вознаграждения.

Простая кнопка внесения средств не раскрывает все экономические и технические риски предоставления ликвидности.

Кроссчейн-мосты

DeFi-кошелек может подключаться к мостам, которые перемещают криптовалюту между блокчейн-сетями или создают ее представление в другой сети.

Мост может блокировать активы в одной сети и выпускать связанное с ними представление в другой.

В других конструкциях используются поставщики ликвидности, системы обмена сообщениями, валидаторы или механизмы сжигания и выпуска токенов.

Пользователи мостов могут столкнуться с рисками смарт-контрактов, валидаторов, кастодиального хранения, ликвидности, проверки сообщений и сети назначения.

Перед переводом между сетями следует проверить сеть, актив, сумму, адрес назначения и контракт получаемого токена.

Мультичейн-DeFi-кошелек

Мультичейн-DeFi-кошелек поддерживает аккаунты и активы в нескольких блокчейн-сетях.

Это может избавить от необходимости устанавливать отдельный интерфейс для каждой сети.

При этом возрастает вероятность выбрать не ту сеть, контракт токена, актив для оплаты комиссии или маршрут моста.

Поддержка блокчейна кошельком не означает, что каждому активу или децентрализованному приложению в этой сети можно доверять.

Пользователям следует добавлять пользовательские сети и токены только по данным из проверенных первоисточников.

Смарт-аккаунты

Смарт-аккаунт использует код смарт-контракта для управления криптовалютой и разрешениями на транзакции.

Он может поддерживать функции, которые сложно реализовать в обычном аккаунте с одним ключом.

К таким функциям относятся пакетная обработка транзакций, лимиты расходов, несколько подписантов, спонсирование комиссий, ключи доступа, разрешения для сессий и программируемое восстановление.

Стандарт ERC-4337 для абстракции аккаунтов определяет систему смарт-контрактов для аккаунтов, использующую пользовательские операции и контракт Entry Point.

Смарт-аккаунты могут упростить работу, но создают дополнительные риски, связанные с контрактами, обновлениями, ретрансляторами, восстановлением доступа и реализацией.

EIP-7702 и DeFi-кошельки

EIP-7702 позволяет внешнему аккаунту Ethereum авторизовать использование кода смарт-контракта для управления аккаунтом.

Это может обеспечить пакетную обработку транзакций, спонсирование комиссий, программируемые средства контроля и другие функции смарт-аккаунта с сохранением существующего адреса.

В то же время вредоносная авторизация может передать недоверенному коду опасные полномочия.

В соображениях безопасности стандарта подчеркивается важность защиты от повторного воспроизведения, проверки стоимости транзакции, газа, целевых адресов и данных вызова.

Запрос, представленный как обновление, активация или восстановление кошелька, следует отклонить, если целевой адрес делегирования и последствия невозможно проверить.

Мультисиг-кошелек

Мультисиг-кошелек требует подтверждения от нескольких уполномоченных подписантов, прежде чем выполнить определенные транзакции.

Это может снизить риск того, что потеря или кража одного ключа сразу приведет к компрометации казначейства.

Подписантам следует использовать разные устройства и самостоятельно проверять транзакцию.

Несколько человек все равно могут одобрить один и тот же вредоносный запрос, если они доверятся одному обманному сообщению или зараженному компьютеру.

Безопасность мультисиг-кошелька зависит от независимости подписантов, настройки порога подтверждения, процедур восстановления и целостности контракта.

Социальное восстановление

При социальном восстановлении выбранные доверенные лица или механизмы помогают вернуть контроль над смарт-аккаунтом.

Для замены подписанта может требоваться подтверждение от нескольких доверенных лиц.

Такая система позволяет меньше зависеть от одной сид-фразы.

Она сопряжена с рисками сговора доверенных лиц, компрометации аккаунтов, устаревших контактов, неясных сроков ожидания и вредоносных попыток восстановления.

Пользователям следует понимать, кто может начать восстановление, сколько времени оно занимает и как остановить несанкционированную попытку.

Ключи доступа (Passkeys)

Passkey использует аутентификацию с открытым ключом, связанную с устройством, ключом безопасности или экосистемой аккаунта.

Смарт-DeFi-кошелек может использовать Passkey для подписания транзакций или восстановления доступа.

Passkeys могут уменьшить зависимость от повторно используемых паролей и защитить от многих распространенных видов фишинга.

Кошелеку все равно необходимо предусмотреть потерю устройства, синхронизацию, самостоятельный перенос, безопасность резервного копирования и совместимость с блокчейн-подписями.

Пользователям следует выяснить, будет ли доступ навсегда зависеть от одного производителя устройства или поставщика онлайн-аккаунта.

Ключи сессионного доступа

Ключ сессионного доступа — это временный или ограниченный ключ, которому разрешено выполнять определенные действия.

Он может сократить число повторных запросов на подтверждение при торговле, играх или автоматизированных операциях DeFi.

В разрешении следует ограничить доступные контракт, сумму актива, сеть и действие, а также указать срок его действия.

Ключ с широкими полномочиями может стать почти таким же опасным, как основной ключ кошелька.

Пользователи должны иметь возможность просматривать и отзывать все активные разрешения для сессий.

Безопасность DeFi-кошелька

Безопасность DeFi-кошелька зависит от защиты ключей, безопасности устройства, проверки транзакций, планирования восстановления доступа и внимательного выбора приложений.

В руководстве Ethereum по безопасности рекомендуется хранить фразы восстановления в тайне, избегать неограниченных разрешений смарт-контрактам на использование средств и остерегаться фишинга и мошенников, выдающих себя за службу поддержки.

В рекомендациях CISA Secure Our World советуют использовать надежные уникальные пароли, многофакторную аутентификацию, своевременно устанавливать обновления программного обеспечения и остерегаться фишинга.

Многофакторная аутентификация может защитить электронную почту, облачное хранилище, социальные сети и кастодиальные аккаунты, связанные с использованием кошелька.

Однако для традиционного некастодиального аккаунта она не заменяет защиту блокчейн-ключей.

Поддельные DeFi-кошельки

Поддельный DeFi-кошелек может имитировать легитимное мобильное приложение, расширение браузера, сайт или программу для компьютера.

Он может похитить сид-фразу во время настройки или подменить сведения о транзакции перед ее подписанием.

Программное обеспечение кошелька следует загружать по ссылке, опубликованной проверенным разработчиком.

Необходимо проверить издателя, запрашиваемые разрешения, историю выпусков, сайт и документацию по безопасности.

Профессиональный дизайн, положительные отзывы и знакомый логотип не подтверждают подлинность кошелька.

Риски фишинга

Фишинг — это попытка заставить пользователя раскрыть секретные данные, установить вредоносное ПО или авторизовать вредоносные действия в блокчейне.

Поддельный сайт может копировать дизайн DeFi-протокола и запрашивать разрешение на использование токенов или сид-фразу.

В руководстве CISA по фишингу предупреждают, что преступники используют вредоносные ссылки и вложения, чтобы запрашивать информацию или заражать устройства.

Для доступа к часто используемым DeFi-приложениям следует использовать проверенные закладки.

Срочное сообщение с требованием перенести или восстановить кошелек необходимо проверить через независимый источник.

Подмена адресов

При подмене адресов злоумышленник добавляет подконтрольный ему адрес в историю транзакций кошелька.

Злоумышленник может создать адрес, первые или последние символы которого похожи на адрес часто используемого получателя.

Позже пользователь может скопировать адрес злоумышленника из истории транзакций и отправить на него криптовалюту.

Следует проверять адрес целиком, а не только его первые и последние символы.

Защититься от такого риска помогут надежно сформированная адресная книга и списки разрешенных адресов.

Вредоносные разрешения на использование токенов

Вредоносный протокол может запросить неограниченный доступ к ценному токену.

Токены могут оставаться в кошельке, пока злоумышленник позднее не воспользуется разрешением.

Отключение от сайта не удаляет это разрешение.

Пользователям следует проверять суммы разрешений, адреса расходующих средств, историю контрактов и правила истечения срока действия.

Если сид-фраза кошелька скомпрометирована, для защиты аккаунта недостаточно только отозвать разрешения: необходимо перенести активы на новый аккаунт.

Неизвестные токены и цифровые коллекционные предметы

Мошенники могут отправлять нежелательные токены или цифровые коллекционные предметы на публичные адреса кошельков.

Название или метаданные актива могут рекламировать фишинговый сайт или поддельное вознаграждение.

Пользователю не нужно получать, продавать, разблокировать неизвестный актив или выдавать разрешения на его использование.

Как правило, безопаснее скрыть или игнорировать нежелательные активы, чем следовать содержащимся в них инструкциям.

Отображаемая стоимость токена может основываться на манипулируемой ликвидности или вводящих в заблуждение метаданных.

Что делать, если сид-фраза раскрыта?

Сид-фразу, ставшую известной посторонним, следует считать признаком полной компрометации всех созданных на ее основе аккаунтов.

Пользователю следует создать новый кошелек с новыми данными для восстановления на чистом устройстве.

Оставшиеся активы следует аккуратно и незамедлительно перевести в новый кошелек.

Никогда не используйте раскрытую фразу повторно.

Смена пароля кошелька или отзыв разрешений на использование токенов не помешают злоумышленнику подписывать новые транзакции с помощью раскрытых ключей.

Что делать, если DeFi-кошелек потерян?

Потеря телефона или компьютера автоматически не уничтожает блокчейн-аккаунт.

Обычно кошелек можно восстановить, если у пользователя есть действительная фраза восстановления или другой поддерживаемый способ восстановления доступа.

Потерянное устройство все еще может представлять риск, если оно было разблокировано или защищено слабым кодом доступа.

Пользователям следует защитить связанные аккаунты, отозвать сессии приложений и рассмотреть возможность перевода активов, если существует риск несанкционированного доступа.

В смарт-аккаунте можно удалить потерянный ключ подписанта с помощью предусмотренной процедуры восстановления.

Как выбрать DeFi-кошелек

Определите, является ли кошелек некастодиальным, кастодиальным, мультисиг-кошельком или смарт-аккаунтом.

Изучите поддерживаемые блокчейны, токены, аппаратные устройства, подключения к децентрализованным приложениям и способы восстановления доступа.

Проверьте, доступны ли публично исходный код, аудиты, история безопасности и процедура сообщения об уязвимостях.

Оцените симуляцию транзакций, понятное подписание, ограничения разрешений, предупреждения об адресах, обнаружение фишинга и управление правами доступа.

Разберитесь во всех зависимостях от администраторов, ретрансляторов, доверенных лиц, облачных сервисов и механизмов обновления.

В сравнительном обзоре кошельков Ethereum перечисленные кошельки оцениваются по опубликованным критериям, связанным с безопасностью, некастодиальным хранением и поддержкой сетей. При этом отмечается, что включение в обзор не означает официального одобрения.

Выбирать кошелек следует с учетом безопасности и соответствия вашим потребностям, а не только ради рекламного вознаграждения.

Комиссии DeFi-кошелька

Приложение DeFi-кошелька может быть бесплатным, однако за транзакции все равно могут взиматься различные комиссии и другие расходы.

К возможным расходам относятся комиссия за газ в блокчейне, комиссия за обмен, комиссия моста, комиссия за стейкинг, комиссия за маршрутизацию, расходы на покупку с карты и плата за услуги смарт-аккаунта.

Кошелек должен отличать комиссии сети от сумм, которые удерживает приложение или поставщик услуг.

Пользователям следует сравнивать итоговое количество получаемого актива, а не только одну отображаемую комиссию.

Конфиденциальность DeFi-кошелька

Приложение кошелька может собирать IP-адреса, данные об устройстве, отчеты о сбоях, сведения об использовании приложения, запросах RPC и публичных адресах кошельков.

Даже если приложение кошелька собирает мало информации, блокчейн-транзакции могут публично раскрывать балансы и активность.

Использование одного адреса в разных протоколах может упростить связь между отдельными операциями.

Пользователям следует изучить политики конфиденциальности, настройки телеметрии, выбор RPC, облачное резервное копирование и практики привязки аккаунтов.

Заявления о конфиденциальности следует оценивать с учетом фактических потоков данных, а не рекламных формулировок.

Налоги и учет операций с DeFi-кошелька

В зависимости от юрисдикции операции с DeFi-кошелька могут облагаться налогом или подлежать отчетности.

Обмен токенов, вознаграждения за стейкинг, доход от займов, ликвидации, поощрительные токены, переводы между сетями и отчуждение активов могут требовать ведения учета.

В рекомендациях IRS по цифровым активам указано, что налогоплательщики обязаны декларировать соответствующие доходы и операции с цифровыми активами.

В действующих инструкциях к форме 1099-DA за 2026 год рассматривается отчетность брокеров по охватываемым операциям с цифровыми активами и некоторым сведениям о налоговой базе.

История транзакций DeFi-кошелька может не объяснять экономическую цель или налоговый режим каждого взаимодействия со смарт-контрактом.

Пользователям следует сохранять хеши транзакций, временные отметки, количество активов, комиссии, адреса кошельков, сведения о налоговой базе и данные протоколов.

Преимущества DeFi-кошелька

DeFi-кошелек может предоставлять прямой доступ к блокчейн-активам и открытым финансовым протоколам.

Некастодиальное хранение может уменьшить зависимость от одной организации при подтверждении транзакций и доступе к активам.

Один кошелек может взаимодействовать со многими совместимыми протоколами без создания отдельного аккаунта для каждого из них.

Публичные записи в блокчейне позволяют самостоятельно проверять балансы, разрешения и транзакции.

Смарт-аккаунты могут добавить контроль расходов, пакетную обработку транзакций, ключи доступа, доверенных лиц, спонсирование комиссий и программируемое восстановление.

DeFi-кошелек может объединять платежи, инвестиции, управление, стейкинг, кредитование и управление ликвидностью в одном интерфейсе.

Ограничения DeFi-кошелька

Обычно DeFi-кошелек не может отменить подтвержденную транзакцию в блокчейне.

При некастодиальном хранении можно безвозвратно потерять активы, если утрачены все ключи и способы восстановления.

Кошелек не может гарантировать безопасность подключенных протоколов, токенов, мостов, сайтов или смарт-контрактов.

Информация о транзакциях может быть неполной, технически сложной или трудной для понимания.

Пользователи по-прежнему подвергаются рискам фишинга, вредоносного ПО, подмены адресов, вредоносных разрешений, мошеннических подписей и социальной инженерии.

Комиссии сети, перегрузка, неудачные транзакции, сложность налогообложения и кроссчейн-риски могут затруднить использование DeFi.

Смарт-аккаунты и сервисы восстановления создают дополнительные риски, связанные с кодом и доверием.

Часто задаваемые вопросы

Что такое DeFi-кошелек простыми словами?

DeFi-кошелек — это инструмент для управления аккаунтами с криптовалютой и использования приложений децентрализованных финансов.

Хранится ли криптовалюта в DeFi-кошельке?

Криптовалюта учитывается в блокчейне, а кошелек управляет ключами и интерфейсом, с помощью которых пользователь распоряжается активами.

Является ли DeFi-кошелек некастодиальным?

Многие DeFi-кошельки некастодиальные, однако пользователям следует выяснить, кто контролирует полномочия для подписания транзакций.

Что означает некастодиальное хранение?

Некастодиальное хранение означает, что пользователь контролирует ключи или разрешения, необходимые для авторизации блокчейн-транзакций.

DeFi-кошелек — это то же самое, что DeFi-протокол?

Нет. Кошелек управляет аккаунтом, а протокол предоставляет финансовые функции с помощью смарт-контрактов.

Что такое адрес кошелька?

Адрес кошелька — это публичный идентификатор, на который можно получать криптовалюту и с помощью которого можно взаимодействовать с блокчейн-приложениями.

Что такое приватный ключ?

Приватный ключ — это секретная криптографическая информация, с помощью которой можно авторизовать действия с блокчейн-аккаунта.

Что такое сид-фраза?

Сид-фраза — это последовательность слов, позволяющая восстановить один или несколько аккаунтов с криптовалютой.

Может ли служба поддержки кошелька восстановить сид-фразу?

Как правило, поставщик традиционного некастодиального кошелька не может восстановить утерянную сид-фразу.

Нужно ли сообщать сид-фразу службе поддержки?

Нет. Сотрудникам легитимной службы поддержки не нужны сид-фраза или приватный ключ.

Что произойдет, если удалить DeFi-кошелек?

Блокчейн-аккаунт останется, но для повторного доступа к нему потребуется правильный способ восстановления.

Можно ли использовать один аккаунт в другом кошельке?

Часто это возможно, если оба кошелька поддерживают один и тот же аккаунт и формат восстановления.

Что такое горячий кошелек?

Горячий кошелек — это криптовалютный кошелек, используемый на устройстве, подключенном к интернету.

Что такое аппаратный кошелек?

Аппаратный кошелек — это специальное устройство, предназначенное для защиты приватных ключей и подтверждения транзакций.

Может ли аппаратный кошелек защитить от любого мошенничества?

Нет. Он все равно может подписать вредоносную транзакцию, если пользователь подтвердит вводящие в заблуждение инструкции.

Что происходит при подключении DeFi-кошелька?

Как правило, приложение получает выбранный публичный адрес и может начать запрашивать подписи или транзакции.

Может ли сайт сразу списать средства после подключения?

Обычное подключение, как правило, не дает права тратить средства, однако такое право могут предоставить последующие разрешения или подписи.

Удаляются ли разрешения на использование токенов после отключения?

Нет. Разрешения в блокчейне остаются активными, пока не истекут, не будут использованы или отозваны.

Что такое разрешение на использование токенов?

Разрешение на использование токенов позволяет контракту или адресу тратить указанное количество токенов.

Что такое неограниченное разрешение?

Неограниченное разрешение дает расходующему адресу право использовать весь текущий и будущий баланс этого токена в кошельке.

Что такое подпись permit?

Подпись permit может создать разрешение на использование токенов без прямой отправки владельцем исходной транзакции подтверждения.

Может ли подпись без комиссии за газ быть опасной?

Да. Она может авторизовать расходование токенов, ордер, делегирование аккаунта или другое ценное действие.

Что такое понятное подписание?

При понятном подписании последствия транзакции перед подтверждением описываются понятным языком.

Что такое симуляция транзакции?

Симуляция транзакции позволяет оценить, как могут измениться балансы и разрешения при выполнении предлагаемой транзакции.

Гарантирует ли симуляция безопасность транзакции?

Нет. Состояние блокчейна и поведение контрактов могут измениться после симуляции.

Что такое смарт-аккаунт?

Смарт-аккаунт — это аккаунт с криптовалютой, управляемый программируемой логикой смарт-контракта.

Что такое абстракция аккаунта?

Абстракция аккаунта поддерживает программируемые функции кошелька, такие как пакетная обработка транзакций, восстановление, контроль расходов и спонсирование комиссий.

Что такое EIP-7702?

Это стандарт Ethereum, который позволяет внешнему аккаунту авторизовать код смарт-контракта для управления аккаунтом.

Может ли делегирование аккаунта быть опасным?

Да. Вредоносный делегированный код может получить широкие полномочия для управления транзакциями и активами аккаунта.

Что такое мультисиг-кошелек?

Это кошелек, для которого требуется подтверждение нескольких уполномоченных подписантов в соответствии с установленным порогом.

Что такое социальное восстановление?

Социальное восстановление позволяет выбранным доверенным лицам или механизмам помочь вернуть контроль над смарт-аккаунтом.

Что такое кошелек с Passkey?

Это кошелек, который использует аутентификацию с открытым ключом на устройстве для подписания транзакций или восстановления доступа.

Можно ли обменивать токены через DeFi-кошелек?

Многие DeFi-кошельки могут подключаться к децентрализованной ликвидности и подготавливать транзакции обмена токенов.

Можно ли получать вознаграждения за стейкинг через DeFi-кошелек?

Многие кошельки позволяют подключаться к системам нативного стейкинга или стейкинга через смарт-контракты.

Можно ли брать криптовалюту в долг через DeFi-кошелек?

DeFi-кошелек может подключаться к протоколам кредитования, которые позволяют брать займы под залог подходящих активов.

Может ли DeFi-кошелек предотвратить ликвидацию?

Нет. Ликвидация зависит от стоимости обеспечения, долга, цен оракулов, движения рынка и правил протокола.

Может ли DeFi-кошелек поддерживать несколько блокчейнов?

Да. Мультичейн-кошелек может поддерживать несколько сетей, однако каждый актив и сеть необходимо проверять отдельно.

Что произойдет, если выбрать неправильную сеть?

Транзакция может завершиться ошибкой, а восстановить активы может быть сложно или невозможно.

Безопасны ли неизвестные токены в кошельке?

Неизвестные токены могут быть спамом, поддельными активами или инструментами для фишинга, поэтому им нельзя доверять автоматически.

Как распознать поддельный DeFi-кошелек?

Проверьте издателя, официальную ссылку для загрузки, запрашиваемые разрешения, историю выпусков, домен и документацию по безопасности.

Что делать, если сид-фраза раскрыта?

Создайте новый кошелек на чистом устройстве и переведите оставшиеся активы на аккаунты, созданные с использованием новых данных для восстановления.

Что делать после подписания вредоносного разрешения?

Отзовите разрешение безопасным способом и рассмотрите возможность переноса активов, если общий риск для аккаунта остается неясным.

Как выбрать DeFi-кошелек?

Сравните условия хранения, способы восстановления, поддержку сетей, понятность информации о транзакциях, контроль разрешений, поддержку аппаратных устройств, конфиденциальность и историю безопасности.

Заключение

DeFi-кошелек — это инструмент для управления блокчейн-аккаунтами и доступа к протоколам децентрализованных финансов.

Он может поддерживать переводы, обмены, кредитование, займы, стейкинг, предоставление ликвидности, мосты, управление и другие ончейн-операции.

Большинство DeFi-кошельков используют некастодиальную модель: она дает пользователям прямой контроль, но возлагает на них ответственность за безопасность и восстановление доступа.

Активы учитываются в блокчейне, а не хранятся физически в программном обеспечении кошелька.

Подключение кошелька, транзакции, разрешения на использование токенов, подписи permit и делегирование аккаунта предоставляют разные уровни полномочий.

Перед подписанием пользователям следует разобраться в точных последствиях каждого запроса.

Понятное подписание, симуляция транзакций, аппаратные устройства, мультисиг-аккаунты и ограниченные разрешения могут снизить риски, но не устранить их.

Никогда не сообщайте сид-фразы и приватные ключи децентрализованным приложениям, службам поддержки, сервисам восстановления доступа или сайтам для получения токенов.

Отключение кошелька не отзывает разрешения смарт-контрактов, которые остаются активными в блокчейне.

Смарт-аккаунты могут упростить работу благодаря ключам доступа, доверенным лицам, пакетной обработке транзакций, спонсированию комиссий и программируемым средствам контроля.

Однако они также создают дополнительные риски, связанные с контрактами, делегированием, обновлениями и восстановлением доступа.

Для эффективной защиты DeFi-кошелька необходимы проверенное программное обеспечение, защищенные данные для восстановления, обновленные устройства, ограниченные разрешения, тщательная проверка адресов и внимательный анализ каждой транзакции.