Приложение DeFi-кошелька

Что такое приложение DeFi-кошелька?

Приложение DeFi-кошелька — это приложение для работы с криптовалютой, которое позволяет управлять блокчейн-аккаунтами и напрямую взаимодействовать с протоколами децентрализованных финансов.

С его помощью можно отправлять и получать криптовалюту, подключаться к децентрализованным приложениям, подписывать транзакции, одобрять смарт-контракты, предоставлять ликвидность, занимать активы, выдавать токены в кредит, размещать криптовалюту в стейкинге, голосовать по вопросам управления и управлять другими ончейн-позициями.

Большинство приложений DeFi-кошельков предназначены для самостоятельного хранения средств: это означает, что пользователь контролирует криптографические ключи, необходимые для подтверждения транзакций.

Поставщик кошелька обычно не может восстановить средства, отменить переводы в блокчейне или сбросить аккаунт, если пользователь утратил все данные для восстановления.

Обычно приложение DeFi-кошелька не хранит криптовалюту внутри себя.

Вместо этого данные об активах и балансах записываются в блокчейн, а кошелек управляет ключами и предоставляет интерфейс для работы с ними.

В актуальном руководстве Ethereum по использованию кошелька объясняется, что кошелек — это интерфейс для просмотра аккаунта и проведения транзакций, а не место хранения самого блокчейн-аккаунта.

Приложение DeFi-кошелька может быть мобильным приложением, расширением браузера, программой для компьютера, веб-интерфейсом, смарт-аккаунтом или сопутствующим приложением для аппаратного устройства подписи.

Как работает приложение DeFi-кошелька?

Приложение DeFi-кошелька создает, импортирует или подключает блокчейн-аккаунт.

У аккаунта есть публичный адрес для получения криптовалюты и приватный механизм подписи, с помощью которого подтверждаются действия.

Когда пользователь инициирует транзакцию, кошелек показывает такие сведения, как сеть, получатель, токен, сумма, смарт-контракт и расчетная комиссия.

Затем кошелек предлагает одобрить или отклонить запрос.

После одобрения кошелек подписывает транзакцию приватным ключом аккаунта или другим разрешенным способом подписания.

Подписанная транзакция отправляется узлу блокчейна через соединение удаленного вызова процедур.

Валидаторы или другие участники сети обрабатывают транзакцию в соответствии с правилами консенсуса блокчейна.

Кошелек отслеживает блокчейн и обновляет интерфейс после включения транзакции в блок и ее подтверждения.

Кошелек не может гарантировать успешное выполнение транзакции: она может завершиться ошибкой из-за условий смарт-контракта, лимита газа, настроек проскальзывания, баланса аккаунта или изменения состояния блокчейна.

Приложение DeFi-кошелька и блокчейн-аккаунт

Блокчейн-аккаунт — это адрес и структура разрешений, распознаваемые блокчейн-сетью.

Приложение DeFi-кошелька — это программа для просмотра аккаунта и управления им.

Часто один и тот же аккаунт можно импортировать в несколько совместимых интерфейсов кошелька.

Удаление приложения кошелька не удаляет аккаунт и не убирает криптовалюту из блокчейна.

Переустановка приложения также не восстановит аккаунт автоматически, если у пользователя нет необходимых средств восстановления.

Это важно, поскольку пользователи иногда считают, что их активы навсегда привязаны к одному приложению.

Активы остаются связанными с блокчейн-аккаунтом, пока работает соответствующая сеть.

Приложение DeFi-кошелька и DeFi-протокол

Приложение DeFi-кошелька управляет аккаунтами и подписывает запросы.

DeFi-протокол — это набор смарт-контрактов, который предоставляет финансовые услуги, например кредитование, обмен токенов, стейкинг, предоставление ликвидности или торговлю деривативами.

Кошелек взаимодействует с протоколом, но необязательно управляет им или контролирует его.

Даже безопасный кошелек может подключиться к уязвимому или мошенническому протоколу.

Кроме того, к надежному протоколу можно получить доступ через поддельный сайт, созданный для запроса вредоносных подписей.

Поэтому пользователям необходимо оценивать и приложение кошелька, и каждое подключенное децентрализованное приложение.

Некастодиальные приложения DeFi-кошельков

Некастодиальный кошелек дает пользователю контроль над правом подписи для аккаунта.

Как правило, разработчик не может перевести активы пользователя без действительной подписи или ранее предоставленного разрешения смарт-контракту.

Некастодиальный кошелек может предоставлять прямой доступ к блокчейн-приложениям без необходимости получать одобрение другой организации для каждой транзакции.

При этом пользователь отвечает за резервное копирование, защиту ключей, проверку транзакций и предотвращение мошенничества.

Забытый пароль может быть восстановлен, если у пользователя сохранились сид-фраза, ключ доступа, система доверенных лиц или другой поддерживаемый способ восстановления.

Утрата сид-фразы вместе с устройством может навсегда лишить доступа к традиционному некастодиальному аккаунту.

Кастодиальные приложения-кошельки

В кастодиальном приложении-кошельке другая организация контролирует приватные ключи, связанные с балансами клиентов, или управляет ими.

Обычно пользователь получает доступ к аккаунту с помощью пароля, способа аутентификации и процедуры восстановления аккаунта.

Кастодиальные сервисы могут упростить восстановление доступа, проверку операций, поддержку клиентов и контроль транзакций.

Однако они также создают риски, связанные с контрагентом, доступом, неплатежеспособностью, конфиденциальностью, выводом средств и операционной деятельностью.

Кастодиальное приложение может предоставлять отдельные возможности DeFi, но не дает такого же прямого контроля над ключами, как некастодиальный кошелек.

Уточняйте, кто контролирует ключи для подписания, а не ориентируйтесь только на слово «кошелек».

Приложения горячих кошельков

Горячий кошелек подключен к устройству с доступом в интернет.

Мобильные приложения-кошельки, расширения браузера и программы для компьютера обычно используются как горячие кошельки.

Они удобны для частой работы с DeFi, поскольку позволяют быстро подписывать транзакции.

Их ключи могут подвергаться риску из-за вредоносного ПО на устройстве, вредоносных расширений браузера, фишинговых страниц, атак с демонстрацией экрана или кражи данных сеанса.

В горячем кошельке, как правило, следует хранить только сумму, необходимую для его предполагаемого использования.

Отделение долгосрочных активов от экспериментальной деятельности в DeFi может уменьшить последствия взлома одного приложения или вредоносной подписи.

Приложения-кошельки с подключением к аппаратному устройству

Приложение DeFi-кошелька может подключаться к аппаратному устройству для подписи, которое хранит приватные ключи в специальном оборудовании.

Приложение подготавливает транзакцию, а аппаратное устройство подписывает ее после одобрения пользователем.

Такая схема может не позволять компьютеру или телефону напрямую получать доступ к приватному ключу.

Однако она не помешает пользователю одобрить вредоносную транзакцию.

Если устройство поддерживает проверку подробной информации, на его доверенном экране следует сверять адрес, сумму, сеть и данные смарт-контракта.

Аппаратное устройство обеспечивает защиту ключей, а не автоматическую защиту от всех видов мошенничества в DeFi.

Мобильные приложения DeFi-кошельков

Мобильное приложение DeFi-кошелька работает на смартфоне или планшете.

Оно может использовать биометрическую аутентификацию, шифрование устройства, защищенное хранилище, сканирование QR-кодов, push-уведомления и диплинки.

Мобильные кошельки удобны для платежей и подключения к децентрализованным приложениям.

Если защита приложения недостаточна, кража разблокированного устройства может привести к раскрытию данных кошелька.

Используйте надежный код-пароль устройства, автоматическую блокировку, обновления операционной системы и отдельную аутентификацию кошелька.

Не храните данные восстановления в виде обычного снимка экрана в фотогалерее или облачной резервной копии того же телефона.

Расширения браузера для кошельков

Расширение-кошелек добавляет функции для работы с блокчейн-аккаунтами в веб-браузер.

Оно может обнаруживать децентрализованные приложения и показывать запросы на подключение, транзакции и подписи.

Стандарт провайдера EIP-1193 определяет общий интерфейс, который кошельки могут предоставлять приложениям Ethereum для удаленных вызовов процедур и получения событий изменения состояния.

Кошельки в браузере удобны, поскольку децентрализованное приложение и кошелек работают в одной среде просмотра.

В то же время они могут подвергаться воздействию вредоносных расширений, поддельных сайтов, взломанных веб-страниц, уязвимостей браузера и обманных всплывающих окон.

Устанавливайте расширения только по ссылке с официального сайта издателя кошелька.

Несколько расширений-кошельков

Если установлено несколько расширений-кошельков, между ними могут возникать конфликты: каждое из них может пытаться представиться децентрализованному приложению.

Стандарт обнаружения нескольких провайдеров EIP-6963 позволяет совместимым провайдерам кошельков объявлять о себе отдельно, чтобы пользователь мог выбрать нужный кошелек.

Это снижает зависимость от одного общего объекта браузера и улучшает совместимость приложений-кошельков.

Перед одобрением запроса пользователь все равно должен проверить название кошелька и аккаунт.

Вредоносное расширение может имитировать другой кошелек или пытаться отслеживать действия в браузере.

Приложения DeFi-кошельков для компьютера

Десктопный кошелек работает как программа на персональном компьютере.

Он может предоставлять подробные инструменты для портфеля, историю транзакций, поддержку аппаратных устройств, функции валидатора или расширенные настройки сети.

Десктопный кошелек может подвергаться воздействию вредоносного ПО, средств удаленного доступа, зараженных установщиков программ и небезопасной активности в браузере на том же компьютере.

Загружайте установщик только из проверенного официального источника.

Если разработчик предоставляет цифровые подписи или опубликованные хеши файлов, они могут дополнительно помочь проверить установку.

Веб-интерфейсы кошельков

Веб-интерфейс кошелька работает через сайт, а ключи аккаунта могут храниться в другом месте.

Сайт может подключаться к кошельку в браузере, мобильному кошельку, аппаратному устройству, смарт-аккаунту или удаленному подписанту.

Веб-интерфейсы особенно уязвимы для подмены домена и взлома интерфейса.

Наличие зашифрованного HTTPS-соединения не доказывает подлинность сайта.

Проверяйте домен целиком и не вводите сид-фразы на обычных веб-страницах.

Приватные ключи

Приватный ключ — это секретные криптографические данные, используемые для подтверждения транзакций с блокчейн-аккаунта.

Любой, кто получил приватный ключ, обычно может подписывать транзакции от имени владельца аккаунта.

Пароль кошелька может шифровать ключ на отдельном устройстве, но смена пароля не меняет приватный ключ блокчейна.

Если ключ раскрыт, активы нужно перевести в новый аккаунт, созданный с помощью не скомпрометированных ключевых данных.

Не вставляйте приватные ключи в децентрализованные приложения, чаты поддержки, онлайн-формы или на страницы получения токенов.

Сид-фразы

Сид-фраза — это последовательность слов, которую многие кошельки используют для создания или восстановления нескольких блокчейн-аккаунтов.

Ее также называют фразой восстановления или мнемонической фразой.

Тот, кто получил эту фразу, может восстановить кошелек и контролировать его аккаунты.

Создайте автономную резервную копию фразы и защитите ее от кражи, огня, воды, случайного выбрасывания и несанкционированной фотосъемки.

Для подключения кошелька к легальному децентрализованному приложению фраза не нужна.

Если кто-то утверждает, что фраза необходима для синхронизации, проверки, миграции или получения поддержки, он пытается скомпрометировать кошелек.

Пароли кошелька

Пароль кошелька обычно защищает доступ к приложению или зашифрованному файлу ключей на конкретном устройстве.

Это не то же самое, что фраза восстановления или приватный ключ.

Имея сид-фразу, злоумышленник может контролировать аккаунт, не зная пароля приложения.

Пользователь, знающий пароль, но не имеющий необходимых ключевых данных, может не суметь восстановить кошелек на другом устройстве.

Используйте длинные уникальные пароли и храните их в надежном месте.

Публичные адреса

Публичный адрес идентифицирует блокчейн-аккаунт, который может получать активы и взаимодействовать со смарт-контрактами.

Обычно передача адреса другим людям не дает им контроля над аккаунтом.

Сведения о действиях по этому адресу могут быть общедоступны.

Повторное использование адреса может раскрыть балансы, историю транзакций, контрагентов, позиции в DeFi и связи между аккаунтами.

Прежде чем связывать личность с публичным адресом кошелька с крупной суммой, подумайте о конфиденциальности.

Выбор сети

Мультичейн-кошелек может поддерживать несколько блокчейн-сетей.

В каждой сети могут использоваться разные адреса, нативные активы для оплаты комиссий, контракты токенов, приложения и модели безопасности.

Токены с одинаковым названием могут существовать как отдельные активы в нескольких сетях.

В официальных рекомендациях по использованию кошелька предупреждают, что отправитель и получатель должны использовать одну и ту же сеть при переводе токенов.

Перевод актива через неподдерживаемую сеть может затруднить или сделать невозможным его возврат.

Перед каждым переводом, обменом, операцией с мостом, одобрением или взаимодействием с контрактом проверяйте выбранную сеть.

Подключения через удаленный вызов процедур

Приложение кошелька обычно взаимодействует с блокчейном через конечную точку удаленного вызова процедур, или RPC-эндпоинт.

RPC-сервис предоставляет такие сведения, как балансы, данные транзакций, состояние смарт-контрактов, оценка газа и статус блоков.

Он также передает подписанные транзакции в сеть.

Недобросовестный или ненадежный RPC-провайдер может скрывать транзакции, предоставлять неточные сведения, отслеживать действия пользователя или задерживать отправку транзакций.

Как правило, провайдер не может подписывать транзакции без доступа к полномочиям на подпись кошелька.

Опытные пользователи могут выбрать другие RPC-эндпоинты или запустить собственный узел блокчейна.

Подключение DeFi-кошелька к приложению

Децентрализованное приложение может запросить разрешение на просмотр выбранного адреса кошелька и сети.

Кошелек должен показать домен, отправивший запрос, и аккаунты, доступ к которым будет открыт.

Обычное подключение, как правило, не дает приложению права переводить токены.

Позднее приложение может запросить транзакции, одобрения и подписи, предоставляющие дополнительные полномочия.

Отключение кошелька завершает активный сеанс, но не всегда отзывает разрешения, уже записанные в блокчейне.

Старые сеансы и разрешения смарт-контрактов следует проверять отдельно.

Сеансы WalletConnect

Приложение кошелька может использовать протокол подключения для взаимодействия с децентрализованными приложениями на других устройствах и в других браузерах.

В документации WalletConnect Wallet SDK описаны безопасные мультичейн-подключения, позволяющие пользователям одобрять запросы приложений, сохраняя контроль над управлением ключами и подписанием.

QR-код или диплинк может создать зашифрованный сеанс между кошельком и приложением.

Сканирование кода не доказывает безопасность приложения.

Перед одобрением сеанса кошелек должен показать домен приложения, сети, методы и разрешения для аккаунта.

Отключайте неиспользуемые сеансы, чтобы уменьшить путаницу и количество нежелательных запросов.

Проверка домена

Приложения кошельков могут использовать системы репутации или проверки, чтобы предупреждать пользователей о подозрительных доменах.

Функция WalletConnect Verify предназначена для того, чтобы помогать кошелькам выявлять потенциально подозрительные или вредоносные домены приложений.

Предупреждение полезно, однако отсутствие предупреждения не доказывает безопасность сайта.

Новые фишинговые домены могут еще не отображаться в системах репутации.

Даже легальный домен может быть взломан после прохождения проверки.

Пользователям все равно необходимо проверять сведения о транзакциях и разрешения смарт-контрактов.

Подписание криптовалютных транзакций

Подпись транзакции подтверждает, что уполномоченный аккаунт одобрил действие в блокчейне.

Действие может переводить криптовалюту, вызывать смарт-контракт, одобрять токены, создавать заем, выводить обеспечение или объединять несколько операций.

Кошелек должен показывать транзакцию в понятной пользователю форме.

После отправки в сеть и подтверждения транзакцию обычно сложно отменить.

Отклоняйте транзакции с неожиданным получателем, токеном, суммой, сетью, контрактом или функцией.

Подписание сообщений

DeFi-приложение может запросить криптографическую подпись без немедленной отправки транзакции в блокчейн.

Подписание сообщений может подтверждать контроль над адресом, аутентифицировать пользователя, создавать ордер, одобрять расходование токенов или разрешать другое действие в будущем.

Подпись без комиссии за газ все равно может иметь финансовые последствия.

Не считайте автоматически, что любой запрос на подпись сообщения — это безобидный вход в систему.

Перед подписанием проверьте домен, цель запроса, срок действия, аккаунт, сеть и предоставляемые разрешения.

Подписание структурированных данных

При подписании структурированных данных сообщение разбивается на именованные поля, которые кошелек может отображать понятнее, чем необработанные закодированные байты.

Стандарт структурированных данных EIP-712 определяет способ хеширования и подписания структурированной информации.

Структурированные данные могут содержать лимиты токенов, условия ордера, сведения о голосовании, сроки действия и адреса контрактов.

Читаемые поля повышают прозрачность, но сами по себе не делают запрашиваемое действие безопасным.

Пользователь должен понимать, какие именно полномочия предоставляет каждое поле.

Понятное подписание

Понятное подписание — это отображение последствий транзакции или сообщения ясным языком до того, как пользователь даст согласие.

Необработанные шестнадцатеричные данные создают риск blind signing, поскольку пользователям сложно понять, что именно они разрешают.

В мае 2026 года экосистема Ethereum объявила о совместной инициативе по понятному подписанию, направленной на улучшение читаемости одобрения транзакций.

Кошелек с надежной поддержкой понятного подписания может распознавать перемещение токенов, разрешения, действия с контрактами и важные предупреждения.

Ни одна система отображения не защитит пользователя, который игнорирует информацию или без проверки доверяет мошенническому приложению.

Разрешения для токенов

Разрешение для токена позволяет смарт-контракту или адресу расходовать указанное количество токенов пользователя.

Разрешения часто нужны для обмена токенов, кредитования, предоставления ликвидности, стейкинга и других действий в DeFi.

Стандарт токенов ERC-20 определяет механизм лимита, позволяющий одобренному расходующему адресу переводить токены от имени владельца.

Разрешение может оставаться активным после завершения исходной транзакции.

Неограниченное разрешение может подвергнуть риску текущий баланс токена и токены, которые поступят позднее.

По возможности выбирайте ограниченный лимит и отзывайте больше не нужные разрешения.

Подписи permit

В некоторых случаях permit позволяет одобрить разрешение для токена с помощью подписанного сообщения, а не отдельной транзакции.

Стандарт permit ERC-2612 позволяет задавать лимиты для токенов с помощью подписанных структурированных данных.

Вредоносный сайт может описать permit как получение бесплатного вознаграждения или вход в аккаунт.

При этом подпись все равно может разрешить расходующему адресу переводить ценные токены.

Кошелек должен четко показывать токен, расходующий адрес, сумму, nonce, срок действия и сеть.

Моделирование транзакций

Перед подписанием кошелек может смоделировать транзакцию, чтобы оценить ее последствия.

Предварительный просмотр может показать ожидаемый вывод или поступление активов, создаваемые разрешения и возможные ошибки.

Моделирование может выявить подозрительное поведение, которое неочевидно из названия функции.

Это не гарантия: состояние блокчейна может измениться между моделированием и выполнением транзакции.

Результаты некоторых контрактов также зависят от последующих транзакций, внешних ценовых данных или условий, которые невозможно полностью воспроизвести при моделировании.

Комиссии за газ

Газ — это единица измерения вычислительной работы во многих сетях смарт-контрактов.

Обычно пользователь платит нативным активом сети за обработку транзакции.

За неудачную транзакцию тоже может взиматься комиссия: валидаторы уже выполнили вычислительную работу до возникновения ошибки.

Кошелек рассчитывает газ с учетом текущей нагрузки на сеть и запрашиваемого действия.

Итоговая стоимость может отличаться от первоначальной оценки.

Если кошелек предлагает оплату транзакций третьей стороной, комиссия может быть оплачена другим участником, однако само действие все равно необходимо тщательно проверить.

Обмен токенов в приложении DeFi-кошелька

В приложении DeFi-кошелька может быть интерфейс для обмена токенов.

Кошелек может сравнивать маршруты, запрашивать котировки, оценивать влияние на цену и подготавливать необходимые транзакции со смарт-контрактами.

Для обмена могут использоваться один или несколько пулов ликвидности и смарт-контрактов.

Проверьте исходный и получаемый токены, минимальное количество к получению, комиссии, маршрут, разрешение и допустимое проскальзывание.

Встроенный интерфейс не устраняет риски ликвидности, смарт-контрактов, токенов, оракулов или манипуляций ценой.

Кредитование и займы

Приложение DeFi-кошелька может показывать рынки кредитования и позволять вносить обеспечение или занимать криптовалюту.

За предоставленный актив пользователь может получить токен-квитанцию или ончейн-позицию, представляющую депозит.

Заем создает задолженность, которая может увеличиваться за счет процентов.

Снижение стоимости обеспечения может привести к ликвидации.

Интерфейс кошелька не гарантирует платежеспособность или безопасность протокола кредитования.

Необходимо понимать коэффициенты обеспечения, изменение процентных ставок, пороги ликвидации, зависимость от оракулов и риски смарт-контрактов.

Стейкинг

Кошелек может предоставлять доступ к нативному стейкингу, делегированному стейкингу, пулам стейкинга или системам ликвидного стейкинга.

Стейкинг может приносить вознаграждения за поддержку валидации блокчейна или связанных сервисов.

Среди рисков — слэшинг, блокировка средств, сбои валидатора, уязвимости смарт-контрактов, изменение цены токена и задержка вывода средств.

Отображаемая годовая ставка не гарантирует доходность в долларах.

Уточните, обеспечивает ли кошелек прямой доступ к протоколу или направляет активы через другой смарт-контракт.

Предоставление ликвидности

С помощью приложения кошелька пользователи могут вносить пары токенов или другие активы в пул ликвидности.

Пользователь может получить токен или позицию аккаунта, представляющую его долю в пуле.

Доход может формироваться за счет торговых комиссий, вознаграждений или того и другого.

Потери могут возникнуть из-за расхождения цен, сбоя смарт-контракта, низкой ликвидности, манипуляций с токенами или изменения размера вознаграждения.

Интерфейс кошелька может упростить транзакцию, не объясняя все экономические риски.

Управление протоколом

Приложение DeFi-кошелька может отображать предложения по управлению и позволять пользователям подписывать голоса.

Право голоса может зависеть от баланса токенов, делегирования, стейкинга, снимка состояния или другого механизма конкретного протокола.

Подпись голоса по вопросу управления может быть вне блокчейна или отправляться как ончейн-транзакция.

Проверяйте источник предложения и выясняйте, что именно может измениться в результате голосования.

Вредоносные предложения могут пытаться перевести средства казначейства, изменить администраторов или скорректировать правила протокола.

Поддержка нескольких блокчейнов

Мультичейн-кошелек управляет аккаунтами и активами в нескольких блокчейн-сетях.

Это удобно, поскольку может избавить от необходимости устанавливать отдельное приложение для каждой сети.

Однако пользователю приходится следить за разными активами для оплаты комиссий, форматами адресов, контрактами токенов и моделями безопасности, из-за чего возрастает вероятность ошибки.

Поддержка сетью кошелька не означает, что каждому токену или децентрализованному приложению в ней можно доверять.

Добавляйте пользовательские сети и токены только из проверенных источников.

Кроссчейн-мосты

Приложение DeFi-кошелька может подключать пользователей к мостам для перемещения активов или их представления в разных блокчейн-сетях.

Мост может блокировать актив в одной сети и выпускать соответствующее представление в другой.

Другие мосты используют поставщиков ликвидности, системы передачи сообщений или механизмы сжигания и выпуска токенов.

При использовании моста возможны риски смарт-контрактов, валидаторов, хранения средств, передачи сообщений, ликвидности и сети назначения.

Кошелек может подготовить транзакцию для моста, но не гарантирует безопасность всех подключенных систем.

Обнаружение токенов

Приложения кошельков могут находить балансы токенов, считывая данные блокчейна и списки токенов.

Неизвестные токены могут не отображаться, пока пользователь не импортирует адрес контракта вручную.

Название и символ не являются уникальными идентификаторами токена.

Мошенники могут создавать поддельные токены с названиями, похожими на названия легальных активов.

Перед импортом, одобрением или торговлей токеном проверяйте адрес его контракта и блокчейн-сеть.

Спам-токены и NFT

Злоумышленники могут отправлять бесполезные токены или цифровые коллекционные предметы на публичные адреса кошельков.

Название или метаданные такого актива могут направлять пользователя на фишинговый сайт.

Владельцу кошелька не нужно получать, продавать, разблокировать или использовать нежелательный актив.

Обычно безопаснее скрыть актив в интерфейсе, чем выполнять содержащиеся в нем инструкции.

Отображаемая цена может быть сфабрикована с помощью вводящих в заблуждение метаданных или манипуляций с ликвидностью.

Смарт-аккаунты

В смарт-аккаунте для управления активами и транзакциями в блокчейне используется логика смарт-контракта.

Это позволяет поддерживать функции, которые сложно реализовать в обычном аккаунте с одним ключом.

К таким функциям могут относиться пакетная обработка транзакций, лимиты расходов, несколько подписантов, отложенное восстановление, разрешения сеансов, оплата комиссий третьей стороной и автоматизированные правила.

Стандарт абстракции аккаунтов ERC-4337 определяет параллельную систему транзакций для аккаунтов на базе смарт-контрактов с использованием пользовательских операций и контракта entry point.

Смарт-аккаунты повышают гибкость, но добавляют риски, связанные с контрактами, реализацией, обновлениями, ретрансляторами и восстановлением.

Функции кошелька EIP-7702

EIP-7702 позволяет обычному внешнему аккаунту Ethereum разрешить использование кода смарт-контракта для управления аккаунтом.

Это может обеспечить пакетную обработку, оплату комиссий третьей стороной, программируемые средства защиты и другие функции смарт-аккаунта с сохранением существующего адреса.

В то же время вредоносная авторизация может предоставить опасные полномочия недоверенному коду.

В рекомендациях Ethereum по безопасности EIP-7702 подчеркивается, что пользователям необходимо понимать код, которому они делегируют функции аккаунта.

Отклоните запрос, представленный как обновление или активация кошелька, если нельзя проверить цель делегирования и его последствия.

Пакетные транзакции

Смарт-кошелек может объединить несколько действий в один пакет, одобряемый пользователем.

Пакет может включать одобрение токена, его обмен и внесение полученных средств в протокол кредитования.

Пакетная обработка экономит время и может уменьшить связанные с транзакциями расходы.

При этом запрос на подпись может стать сложнее для понимания.

Кошелек должен показывать каждое действие в пакете, а не только предполагаемый конечный результат.

Транзакции с оплатой комиссий третьей стороной

При такой транзакции другая сторона оплачивает часть или всю комиссию блокчейна.

Это может упростить использование приложений DeFi, если у пользователя нет нативного актива сети для оплаты комиссии.

Спонсор может устанавливать ограничения, взимать другую комиссию, ограничивать поддерживаемые действия или требовать дополнительную авторизацию.

Отсутствие комиссии за газ само по себе не делает транзакцию безопасной.

Подписи вне блокчейна, используемые при такой активности, все равно могут разрешать переводы и выдачу прав.

Социальное восстановление

При социальном восстановлении выбранные доверенные лица или механизмы помогают восстановить контроль над смарт-аккаунтом.

Доверенными лицами могут быть люди, устройства, организации или другие аккаунты.

Пороговое значение может не позволять одному доверенному лицу единолично завладеть контролем.

При этом возникают новые риски: сговор, взлом доверенных лиц, неясные задержки и устаревшие контактные данные.

Пользователям следует знать, кто может начать восстановление, сколько времени оно занимает и как остановить мошенническое восстановление.

Ключи доступа

Ключ доступа (Passkey) использует аутентификацию с открытым ключом, связанную с устройством пользователя, его экосистемой аккаунтов или ключом безопасности.

Смарт-кошелек может использовать ключи доступа для подписания или восстановления аккаунта.

Ключи доступа могут уменьшить зависимость от паролей и защитить от многих традиционных фишинговых атак.

При реализации кошелька все равно необходимо учитывать потерю устройства, облачную синхронизацию, восстановление аккаунта, совместимость с блокчейном и безопасность резервных копий.

В кошельке на основе ключа доступа должно быть объяснено, сможет ли пользователь перенести аккаунт независимо от поставщика кошелька.

Сеансовые ключи и ограниченные разрешения

Смарт-кошелек может разрешить временному ключу выполнять ограниченный набор действий.

Сеансовый ключ может уменьшить количество повторных запросов на одобрение во время игр, торговли или автоматизированных операций в DeFi.

Разрешение должно ограничивать доступный контракт, сумму токенов, тип действий, сеть и срок действия.

Сеансовый ключ с широкими или бессрочными полномочиями может быть почти так же опасен, как основной ключ.

Пользователи должны иметь возможность легко проверять и отзывать активные сеансы.

Восстановление кошелька

Обычный кошелек часто восстанавливается с помощью сид-фразы.

Для смарт-аккаунта могут использоваться доверенные лица, ключи доступа, несколько устройств, отложенное восстановление или другой программируемый процесс.

Проверьте способ восстановления до внесения значительной суммы.

Непроверенная резервная копия может содержать орфографическую ошибку, неполную фразу, неверный путь аккаунта или непригодные учетные данные устройства.

Проверяйте восстановление осторожно, не раскрывая активный секрет восстановления на ненадежном устройстве.

Что произойдет при потере устройства?

Потеря устройства не означает автоматическую потерю криптовалюты.

Обычно аккаунт можно восстановить, если у пользователя сохранился правильный способ восстановления.

Потерянное устройство все же создает риск, если оно было разблокировано или недостаточно защищено.

Если возможен несанкционированный доступ, завершите сеансы приложений, смените связанные пароли и переведите активы.

В смарт-аккаунте потерянного подписанта может быть возможно удалить через процедуру восстановления.

Что произойдет, если сид-фраза раскрыта?

Раскрытие сид-фразы следует считать полной компрометацией кошелька.

Создайте новый кошелек с новой информацией для восстановления на чистом устройстве.

Как можно осторожнее и быстрее переведите оставшиеся активы в новый кошелек.

Смена пароля приложения кошелька недостаточна.

Отзыв разрешений для токенов также недостаточен, поскольку злоумышленник может напрямую подписывать новые транзакции.

Поддельные приложения DeFi-кошельков

Поддельное приложение кошелька может копировать название, логотип, снимки экрана и интерфейс легального продукта.

При настройке оно может украсть фразы восстановления или изменить сведения о транзакции перед подписанием.

Загружайте приложение по ссылке, опубликованной подтвержденным разработчиком.

Внимательно проверяйте имя издателя, разрешения, историю выпусков, сайт и отзывы.

Высокие оценки и профессиональный дизайн не доказывают подлинность приложения.

Защита от фишинга

При фишинге пользователей обманом заставляют переходить на поддельные сайты, раскрывать секретные данные или разрешать вредоносные действия.

В рекомендациях CISA по фишингу советуют осторожно относиться к срочным ссылкам, вложениям и запросам конфиденциальных данных.

Открывайте DeFi-приложения через сохраненные закладки или проверенную официальную документацию.

Сообщение о необходимости немедленно перевести средства следует проверить через независимый канал.

Ни одному легальному сотруднику службы поддержки не нужна фраза восстановления или приватный ключ кошелька.

Риск отравления адресов

При отравлении адресов в историю транзакций пользователя добавляется адрес, контролируемый злоумышленником.

Злоумышленник подбирает адрес, похожий на часто используемый адрес назначения.

Позже жертва может скопировать из истории похожий адрес после проверки только его первых и последних символов.

Перед каждым важным переводом необходимо проверять полный адрес назначения.

Список адресов или список разрешенных адресов может снизить риск ошибок, если первоначальное добавление адреса было безопасным.

Риск вредоносного ПО

Вредоносное ПО может искать файлы кошелька, сид-фразы, пароли, снимки экрана, содержимое буфера обмена, сеансы браузера и приватные ключи.

Оно может подменять скопированные адреса или изменять информацию, отображаемую на зараженном устройстве.

Обновляйте операционные системы и приложения.

Избегайте неизвестных расширений браузера, пиратского программного обеспечения, программ для получения токенов и незапрошенных вложений.

Даже чистое приложение кошелька не защитит приватный ключ, раскрытый на устройстве.

Управление разрешениями

Проверяйте, каким смарт-контрактам разрешено расходовать ваши токены.

Старые разрешения могут оставаться активными месяцами или годами.

Для отзыва разрешения обычно требуется блокчейн-транзакция и сетевая комиссия.

Отзыв уменьшает риск дальнейшего использования лимита, но не отменяет уже совершенные переводы.

Он также не защищает кошелек, приватный ключ или фраза восстановления которого были украдены.

Конфиденциальность

Приложение кошелька может собирать IP-адреса, идентификаторы устройств, данные об использовании приложения, RPC-запросы, отчеты о сбоях и адреса аккаунтов.

Блокчейн может публично раскрывать историю транзакций.

Изучите политику конфиденциальности приложения и настройки телеметрии.

Подключение нескольких аккаунтов через одно приложение или сетевой сервис может упростить установление связи между ними.

Оценивайте заявления о конфиденциальности по реальным потокам данных, а не только по маркетинговым формулировкам.

Как выбрать приложение DeFi-кошелька

Уточните, является ли кошелек некастодиальным, кастодиальным или сочетает оба подхода.

Изучите поддерживаемые сети, токены, смарт-аккаунты, аппаратные устройства и способы подключения к децентрализованным приложениям.

Проверьте, открыт ли исходный код и доступны ли независимые проверки безопасности.

Изучите функции моделирования транзакций, понятного подписания, контроля разрешений, проверки адресов и предупреждений о фишинге.

До внесения ценных активов разберитесь в процессе восстановления.

Проверьте историю обновлений, порядок сообщения об уязвимостях, практики конфиденциальности и зависимость от администраторов.

Выбирайте кошелек с учетом безопасности и соответствия вашим задачам, а не только рекламных вознаграждений.

Комиссии приложения DeFi-кошелька

Приложение кошелька может быть бесплатным для загрузки, но взимать комиссии или получать их от встроенных сервисов.

Возможные расходы включают газ блокчейна, комиссию за обмен, комиссию моста, комиссию за стейкинг, плату за маршрутизацию и комиссию сервиса покупки.

Приложение должно показывать, какие комиссии взимает блокчейн, а какие удерживают поставщики услуг.

Повышенная оценка газа не всегда означает, что разница достанется разработчику кошелька.

Сравнивайте итоговую сумму получаемого актива, а не только одну отображаемую комиссию.

Налоги и ведение учета

Использование приложения DeFi-кошелька может привести к большому количеству операций с криптовалютой, подлежащих отражению в отчетности.

Обмены, вознаграждения, доход от кредитования, ликвидации, операции с мостами, стейкинг, вознаграждения за участие в управлении и отчуждение токенов могут иметь налоговые последствия.

В рекомендациях IRS по цифровым активам говорится, что в США может потребоваться отражать в отчетности доходы от цифровых активов и операции с ними.

Список транзакций кошелька может не указывать экономическую цель или налоговый режим каждого взаимодействия со смарт-контрактом.

Сохраняйте даты и время, хеши транзакций, количество активов, рыночную стоимость, комиссии, адреса кошельков и данные протоколов.

Преимущества приложения DeFi-кошелька

Приложение DeFi-кошелька может предоставлять прямой доступ к блокчейн-активам и финансовым протоколам.

Самостоятельное хранение может уменьшить зависимость от одной организации, одобряющей транзакции.

Пользователь может переключаться между совместимыми приложениями, не создавая отдельный аккаунт для каждого протокола.

Публичные записи блокчейна позволяют самостоятельно проверять транзакции и позиции.

Смарт-аккаунты могут обеспечивать программируемое восстановление, контроль расходов, пакетную обработку и оплату комиссий третьей стороной.

Приложения кошельков также могут объединять управление активами, доступ к DeFi, участие в управлении и историю транзакций в одном интерфейсе.

Ограничения приложения DeFi-кошелька

Кошелек не может отменить необратимую транзакцию в блокчейне.

Самостоятельное хранение может привести к безвозвратной потере средств при утрате ключей и способов восстановления.

Кошелек не может гарантировать безопасность подключенных протоколов, мостов, токенов или смарт-контрактов.

Отображаемая информация о транзакциях может быть неполной или сложной для понимания.

Пользователи по-прежнему подвержены фишингу, вредоносному ПО, вредоносным разрешениям, делегированию аккаунтов, отравлению адресов и социальной инженерии.

Сетевые комиссии, перегрузка сети, неудачные транзакции и сложный налоговый учет могут затруднить работу с DeFi.

Функции восстановления и автоматизации смарт-аккаунтов добавляют новые допущения, связанные с кодом и доверием.

Часто задаваемые вопросы

Что такое приложение DeFi-кошелька простыми словами?

Это приложение для управления аккаунтом криптовалюты и взаимодействия с протоколами децентрализованных финансов.

Хранит ли приложение DeFi-кошелька криптовалюту?

Криптовалюта учитывается в блокчейне, а приложение кошелька управляет ключами и интерфейсом, необходимыми для контроля над ней.

Является ли приложение DeFi-кошелька тем же самым, что и блокчейн-аккаунт?

Нет. Аккаунт существует в блокчейне, а приложение — это один из инструментов доступа к нему.

Является ли приложение DeFi-кошелька некастодиальным?

Многие такие приложения некастодиальные, но пользователям следует выяснить, кто контролирует приватные ключи.

Что такое самостоятельное хранение?

Это способ хранения, при котором пользователь контролирует полномочия на подпись, необходимые для перевода активов и взаимодействия со смарт-контрактами.

Что такое приватный ключ?

Это секретные криптографические данные, используемые для подтверждения транзакций с блокчейн-аккаунта.

Что такое сид-фраза?

Это последовательность слов, с помощью которой можно восстановить аккаунты. Ее следует защищать так же тщательно, как сами активы.

Может ли служба поддержки кошелька восстановить мою сид-фразу?

Поставщик легального некастодиального кошелька обычно не может восстановить утраченную фразу, если кошелек не использует другую систему восстановления.

Нужно ли сообщать сид-фразу службе поддержки?

Нет. Сотрудникам легальной службы поддержки не нужны сид-фраза или приватный ключ.

Что произойдет, если удалить приложение кошелька?

Блокчейн-аккаунт останется, но для повторного доступа потребуется правильный способ восстановления.

Можно ли использовать тот же аккаунт в другом приложении кошелька?

Это часто возможно, если оба приложения поддерживают один и тот же формат аккаунта и восстановления.

Что такое горячий кошелек?

Это кошелек, подключенный к устройству с доступом в интернет и предназначенный для удобного подписания транзакций.

Что такое аппаратный кошелек?

Это отдельное устройство, которое защищает приватные ключи и подписывает транзакции после одобрения пользователем.

Может ли аппаратный кошелек предотвратить вредоносные разрешения?

Нет. Если пользователь подтвердит разрешение, не проверив его условия, устройство может его подписать.

Что происходит при подключении кошелька?

Обычно приложению передается выбранный публичный адрес, после чего оно может запрашивать подписи и транзакции.

Может ли сайт сразу забрать токены после подключения?

Обычное подключение, как правило, не дает права расходовать средства, но такое право могут предоставить последующие одобрения или подписи.

Отзывает ли отключение кошелька разрешения для токенов?

Нет. Ончейн-разрешения сохраняются, пока не истекут, не будут использованы или отозваны.

Что такое разрешение для токена?

Это право, позволяющее смарт-контракту или адресу расходовать указанное количество токенов.

Что такое неограниченное разрешение?

Оно позволяет одобренному расходующему адресу использовать весь текущий и будущий баланс этого токена в кошельке.

Что такое подпись permit?

Это подписанное сообщение, которое может создать или изменить лимит токена без отдельной транзакции одобрения.

Может ли подпись без комиссии за газ быть опасной?

Да. Она может разрешить расходование токенов, размещение ордера, делегирование аккаунта или другие важные с финансовой точки зрения действия.

Что такое понятное подписание?

Это отображение последствий транзакции понятным языком до ее одобрения.

Что такое моделирование транзакций?

Это оценка предполагаемых последствий транзакции до ее подписания пользователем.

Гарантирует ли моделирование безопасность?

Нет. Состояние блокчейна и поведение контракта могут измениться после моделирования.

Что такое RPC-эндпоинт?

Это сервис, через который кошелек считывает данные блокчейна и передает подписанные транзакции.

Что такое смарт-аккаунт?

Это блокчейн-аккаунт, управляемый программируемой логикой смарт-контракта.

Что такое абстракция аккаунта?

Абстракция аккаунта позволяет кошелькам использовать программируемые функции, например пакетную обработку, восстановление, нескольких подписантов и оплату комиссий третьей стороной.

Что такое EIP-7702?

Этот стандарт позволяет обычному аккаунту Ethereum использовать код смарт-контракта для расширенного управления аккаунтом.

Может ли авторизация EIP-7702 быть опасной?

Да. Делегирование управления аккаунтом вредоносному коду может предоставить широкие полномочия в отношении активов и транзакций.

Что такое социальное восстановление?

Это способ восстановления, при котором выбранные доверенные лица или механизмы помогают вернуть доступ к смарт-аккаунту.

Что такое кошелек с ключом доступа?

Это кошелек, который использует аутентификацию с открытым ключом на устройстве для подписания или восстановления аккаунта.

Можно ли обменивать токены через DeFi-кошелек?

Многие приложения кошельков могут подготавливать обмены через подключенные протоколы ликвидности.

Можно ли использовать стейкинг через DeFi-кошелек?

Многие приложения кошельков подключают пользователей к системам нативного стейкинга или стейкинга через смарт-контракты.

Можно ли занимать криптовалюту через кошелек?

Кошелек может подключаться к протоколам кредитования, которые позволяют занимать средства под подходящее обеспечение.

Может ли кошелек предотвратить ликвидацию?

Нет. Ликвидация зависит от стоимости обеспечения, задолженности, цен оракулов и правил протокола.

Можно ли использовать один кошелек в нескольких блокчейнах?

Мультичейн-кошелек может поддерживать несколько сетей, но необходимо проверять каждую сеть и каждый актив отдельно.

Что произойдет, если выбрать неправильную сеть?

Перевод или взаимодействие с контрактом может завершиться ошибкой, а возврат активов может оказаться сложным или невозможным.

Безопасны ли неизвестные токены в моем кошельке?

Неизвестные токены могут быть спамом или инструментом фишинга. Не доверяйте им только потому, что они отображаются в кошельке.

Как распознать поддельное приложение кошелька?

Проверьте ссылку официального издателя, личность разработчика, запрашиваемые разрешения, историю приложения, домен и независимую информацию о безопасности.

Что делать, если моя сид-фраза раскрыта?

Создайте новый кошелек на чистом устройстве и переведите оставшиеся активы в аккаунты, созданные с помощью новой фразы восстановления.

Что делать, если я подписал вредоносное разрешение?

Отзовите его через надежный интерфейс и переведите ценные активы, если уровень риска для аккаунта в целом неясен.

Как выбрать приложение DeFi-кошелька?

Оцените тип хранения, способ восстановления, поддержку сетей, прозрачность транзакций, поддержку аппаратных кошельков, конфиденциальность, историю безопасности и разрешения смарт-контрактов.

Заключение

Приложение DeFi-кошелька — это интерфейс для управления блокчейн-аккаунтами и взаимодействия с протоколами децентрализованных финансов.

Оно может поддерживать переводы, обмен токенов, кредитование, займы, стейкинг, предоставление ликвидности, участие в управлении, мосты и другие ончейн-операции.

Большинство приложений DeFi-кошельков некастодиальные: пользователи контролируют полномочия на подпись и отвечают за их защиту.

Криптовалюта учитывается в блокчейне, а не хранится физически внутри приложения.

Кошельки взаимодействуют с децентрализованными приложениями через стандарты провайдеров, протоколы подключения, RPC-сервисы, транзакции и подписанные сообщения.

Современные смарт-аккаунты могут поддерживать пакетные транзакции, оплату комиссий третьей стороной, ключи доступа, доверенных лиц, лимиты расходов и программируемое восстановление.

Эти функции могут упростить использование кошелька, но добавляют риски смарт-контрактов и делегирования.

Пользователям важно отличать обычное подключение аккаунта от разрешений для токенов, подписей permit, транзакций и авторизации на уровне аккаунта.

Понятное подписание и моделирование транзакций помогают принимать более взвешенные решения, но не гарантируют безопасность.

Никогда не передавайте сид-фразы и приватные ключи децентрализованным приложениям, аккаунтам поддержки или службам восстановления.

Для надежной защиты кошелька необходимы проверенное программное обеспечение, защищенные резервные копии, ограниченные разрешения, полная проверка адресов, обновленные устройства и тщательная проверка каждого запроса.

Приложение DeFi-кошелька предоставляет прямой доступ к открытым криптовалютным рынкам, но безопаснее всего пользоваться им, понимая технологию и последствия каждой подписи.