Пос guía з безпеки угод Web3: захистіть свої цифрові активи

З розвитком екосистеми блокчейну, онлайнові транзакції стали невід'ємною частиною повсякденного життя користувачів Web3. Все більше користувачів переміщують активи з централізованих платформ до децентралізованих мереж, ця тенденція означає, що відповідальність за безпеку активів поступово переходить від платформи до самих користувачів. У середовищі блокчейну користувачі повинні нести відповідальність за кожен крок, незалежно від того, чи це імпорт гаманця, доступ до децентралізованих додатків, чи підписання авторизації та ініціювання транзакцій, будь-яка помилка в операціях може викликати загрози безпеці, що призведе до витоку приватних ключів, зловживання авторизацією або серйозних наслідків, таких як фішинг-атаки.

Хоча наразі основні гаманці-плагіни та браузери поступово інтегрували функції виявлення фішингу та ризикових попереджень, але з огляду на все більш складні методи атак, покладатися лише на пасивний захист інструментів все ще важко повністю уникнути ризиків. Щоб допомогти користувачам чіткіше визначити потенційні ризики в онлайнових транзакціях, ця стаття на основі практичного досвіду узагальнює найбільш поширені ризикові ситуації на всіх етапах, а також разом із пропозиціями щодо захисту та порадами з використання інструментів розробляє системний посібник з безпеки онлайнових транзакцій, що має на меті допомогти кожному користувачеві Web3 створити "самостійно контрольовану" захисну лінію.

Основні принципи безпечної торгівлі:

• Відмовтесь від сліпого підписання: не підписуйте угоди чи повідомлення, які не розумієте.
• Повторна перевірка: перед проведенням будь-якої транзакції обов'язково кілька разів перевірте точність відповідної інформації.

Рекомендації щодо безпечної торгівлі

Безпечна торгівля є ключем до захисту цифрових активів. Дослідження показують, що використання безпечних гаманців та двоетапної перевірки (2FA) може значно знизити ризики. Ось конкретні рекомендації:

• Використовуйте безпечний гаманець: Оберіть постачальника гаманців з гарною репутацією, наприклад, апаратний гаманець або надійний програмний гаманець. Апаратні гаманці забезпечують офлайн-зберігання, що зменшує ризик онлайн-атак, вони підходять для зберігання великих обсягів цифрових активів.

• Подвійна перевірка деталей транзакції: Перш ніж підтвердити транзакцію, обов'язково перевірте адресу отримання, суму та мережу (, таку як Ethereum або BNB Chain, щоб уникнути втрат через помилки введення.

• Увімкніть двофакторну аутентифікацію )2FA(: Якщо торгова платформа або гаманець підтримує 2FA, обов'язково ввімкніть його для підвищення безпеки облікового запису, особливо при використанні гарячого гаманця.

• Уникайте використання громадського Wi-Fi: Не проводьте транзакції через публічні мережі Wi-Fi, щоб уникнути фішингових атак і атак посередників.

Як здійснити безпечну угоду

Повний процес торгівлі децентралізованими додатками складається з кількох етапів: встановлення гаманця, доступ до додатку, підключення гаманця, підписання повідомлення, підписання угоди, обробка після угоди. На кожному етапі існує певний ризик безпеки, далі буде поетапно представлені рекомендації щодо практичних заходів.

) 1. Встановлення гаманця

Наразі основним способом використання децентралізованих додатків є взаємодія через браузерні плагіни-гаманці. Основні гаманці, які використовуються в сумісних з віртуальною машиною Ethereum блокчейнах, включають MetaMask тощо.

При встановленні гаманця плагіна Chrome необхідно підтвердити, що його завантажено з магазину додатків Chrome, щоб уникнути встановлення з сторонніх сайтів, щоб не встановити гаманець із задніми дверима. Користувачам, які мають можливість, рекомендується комбінувати використання апаратних гаманців для подальшого підвищення загальної безпеки зберігання приватних ключів.

При установці гаманця резервна фраза на основі насіння ### зазвичай складається з 12-24 слів для відновлення (, рекомендується зберігати її в безпечному місці, подалі від цифрових пристроїв ), наприклад, записати на папері та зберігати в сейфі (.

) 2. Відвідування децентралізованих додатків

Фішинг у вебі є поширеним методом атак у Web3. Типовим прикладом є спонукання користувачів відвідати фішингові додатки під приводом аеродропу, де після підключення гаманця користувачів спонукають підписати авторизацію токенів, транзакції з переказом або підписання авторизації токенів, що призводить до втрати активів.

Тому, під час відвідування децентралізованих додатків, користувачам слід бути обережними, щоб уникнути потрапляння в пастку веб-фішингу.

Перед доступом до програми слід підтвердити правильність адреси веб-сайту. Рекомендації:

• Уникайте прямого доступу через пошукові системи: фішингові атакуючі можуть підвищити рейтинг своїх фішингових сайтів, купуючи рекламні місця.
• Уникайте натискання на посилання в соціальних мережах: URL-адреси, опубліковані в коментарях або повідомленнях, можуть бути фішинговими.
• Повторно перевірте правильність веб-адреси програми: можна перевірити через децентралізовані ринкові додатки, офіційні облікові записи соціальних медіа проекту та інші джерела.
• Додати безпечний сайт до закладок браузера: надалі відвідуйте його безпосередньо з закладок.

Після відкриття веб-сторінки додатку також необхідно провести перевірку адресного рядка на безпеку:

• Перевірте, чи схожі домен та веб-сайт на підробку.
• Перевірте, чи є це посиланням HTTPS, браузер повинен показувати значок замка.

На даний момент основні плагіни-гаманець на ринку також інтегрували певні функції попередження про ризики, які можуть надавати сильне сповіщення при відвідуванні ризикованих веб-сайтів.

3. Підключити гаманець

Після входу в додаток може автоматично або після активного натискання на Connect відбутися операція з підключення гаманця. Плагін-гаманець проведе деякі перевірки, відображення інформації тощо для поточного додатка.

Після підключення гаманця, зазвичай, якщо користувач не виконує інших дій, додаток не ініціює плагін-гаманець. Якщо сайт часто запитує підписання повідомлень, підписання транзакцій після входу, навіть після відмови від підписання, і далі продовжує з'являтися вікно підписання, то це, ймовірно, рибальський сайт, з яким потрібно бути обережним.

4. Підпис повідомлення

У крайніх випадках, наприклад, якщо зловмисник атакує офіційний веб-сайт протоколу або проводить атаки через захоплення фронтенду, вміст сторінки може бути замінено. Звичайним користувачам важко у такій ситуації оцінити безпеку сайту.

У цей час підпис плагін-гаманця є останньою перешкодою для користувача, щоб зберегти свої цифрові активи. Якщо відмовитися від зловмисних підписів, можна захистити свої активи від втрат. Користувачі повинні ретельно перевіряти вміст підпису перед підписанням будь-яких повідомлень та угод, відмовившись від сліпого підпису, щоб уникнути втрати активів.

Поширені типи підписів включають:

• eth_sign: підписати хешовані дані.
• personal_sign:підписання відкритої інформації, найчастіше зустрічається під час перевірки входу користувача або підтвердження угоди про дозвіл.
• eth_signTypedData###EIP-712(: підписання структурованих даних, зазвичай використовується для Permit ERC20, NFT-лістингів тощо.

![Безпомилкові взаємодії в мережі, будь ласка, збережіть посібник з безпечних транзакцій Web3])https://img-cdn.gateio.im/webp-social/moments-6af084a4250aee742e535f7435bf93c2.webp(

) 5. Підпис угоди

Підпис угоди використовується для авторизації блокчейн-транзакцій, таких як перекази або виклики смарт-контрактів. Користувач підписує приватним ключем, а мережа перевіряє дійсність транзакції. Наразі багато плагін-гаманців декодують повідомлення, що чекають на підпис, та показують відповідний вміст, обов'язково дотримуйтесь принципу, що не підписуйте наосліп, рекомендації з безпеки:

• Уважно перевірте адресу отримувача, суму та мережу, щоб уникнути помилок.
• Рекомендується підписувати великі транзакції в офлайні, щоб зменшити ризик онлайн-атак.
• Зверніть увагу на газові витрати, забезпечте їх адекватність, уникайте шахрайства.

Для користувачів з певними технічними знаннями також можна використовувати кілька поширених методів ручної перевірки: перевірка шляхом копіювання адреси цільового контракту в блокчейн-браузер, основні аспекти перевірки включають, чи є контракт відкритим, чи було нещодавно багато транзакцій, а також чи отримав блокчейн-браузер офіційний або зловмисний ярлик для цієї адреси.

6. Обробка після торгівлі

Уникнення фішингових веб-сторінок та шкідливих підписів не означає, що все в порядку; після угоди також необхідно проводити управління ризиками.

Після交易 варто своєчасно перевірити стан транзакції на блокчейні, щоб підтвердити, чи відповідає він очікуваному стану під час підписання. Якщо виявлено аномалії, терміново здійснити операції щодо переміщення активів, скасування авторизації та інші заходи для обмеження збитків.

Управління схвалення ERC20 також є дуже важливим. У деяких випадках користувачі надали токен-схвалення певним контрактам, а через кілька років ці контракти піддалися атаці, і зловмисник скористався лімітом токен-схвалення атакованого контракту для крадіжки коштів користувачів. Щоб уникнути таких ситуацій, ми рекомендуємо користувачам дотримуватися таких стандартів для запобігання ризикам:

• Мінімізація авторизації. При авторизації токенів слід обмежити кількість авторизованих токенів відповідно до потреби транзакції. Якщо для певної транзакції потрібно авторизувати 100 USDT, то кількість авторизації повинна бути обмежена до 100 USDT, а не використовувати стандартну безмежну авторизацію.
• Своєчасно відкликати непотрібні авторизації токенів. Користувачі можуть увійти в інструмент управління авторизаціями, щоб перевірити стан авторизації відповідних адрес, відкликати авторизацію протоколів, які давно не взаємодіяли, щоб запобігти можливим вразливостям у протоколі, які можуть призвести до втрати активів через використання авторизаційних лімітів користувача.

Стратегія ізоляції коштів

При наявності усвідомлення ризику та проведенні достатніх заходів щодо його запобігання, також рекомендується здійснити ефективну ізоляцію коштів, щоб у крайніх випадках зменшити ступінь їхнього ушкодження. Рекомендуємо стратегію наступним чином:

• Використовуйте мультипідписний гаманець або холодний гаманець для зберігання великих цифрових активів;
• Використовуйте плагінний гаманець або звичайний гаманець як гарячий гаманець для щоденної взаємодії;
• Регулярно змінюйте адреси гарячого гаманця, щоб запобігти постійному ризику їх експозиції.

Якщо випадково справді станеться фішинг, ми радимо негайно вжити такі заходи, щоб зменшити втрати:

• Скасування високих ризиків авторизації за допомогою інструментів управління авторизацією;
• Якщо підписано permit, але активи ще не були переміщені, можна негайно ініціювати новий підпис, щоб зробити старий підпис недійсним.
• У разі необхідності, швидко перемістіть залишкові активи на нову адресу або холодний гаманець.

![Ланцюгові взаємодії без помилок, посібник з безпечної торгівлі Web3, будь ласка, збережіть]###https://img-cdn.gateio.im/webp-social/moments-6ee2b511a2456347db280731b41163ca.webp(

Як безпечно брати участь у аірдропах

Аірдроп — це поширений спосіб просування блокчейн-проєктів, але в ньому також приховані ризики. Ось кілька порад:

• Дослідження фону проєкту: забезпечити наявність чіткої білої книги проєкту, відкритої інформації про команду та репутації спільноти;
• Використання спеціальної адреси: зареєструйте спеціальний гаманець та електронну пошту, щоб ізолювати ризики основного рахунку;
• Обережно клацайте на посилання: отримуйте інформацію про аірдроп лише через офіційні канали, уникайте клацання на підозрілі посилання в соціальних мережах;

Вибір і рекомендації щодо використання плагінів

Зміст правил безпеки блокчейну дуже великий, і не завжди є можливість детально перевірити кожну взаємодію, тому важливо вибрати безпечні плагіни, які можуть допомогти нам у ризиковій оцінці. Ось конкретні рекомендації:

• Довірені розширення: використовуйте такі, як MetaMask) для екосистеми Ethereum( та інші широко використовувані браузерні розширення з високим рівнем популярності. Ці плагіни надають функцію гаманця, підтримують взаємодію з децентралізованими додатками.
• Перевірка рейтингу: перед встановленням нового плагіна перевірте рейтинг користувачів та кількість встановлень. Високий рейтинг і велика кількість встановлень зазвичай свідчать про те, що плагін є більш надійним, зменшуючи ризик наявності шкідливого коду.
• Тримайте оновленим: регулярно оновлюйте свої плагіни, щоб отримувати останні функції безпеки та виправлення. Застарілі плагіни можуть містити відомі вразливості, які легко можуть бути використані зловмисниками.

Висновок

Дотримуючись вищезазначених рекомендацій щодо безпечних угод, користувачі зможуть більш впевнено взаємодіяти в дедалі складнішій екосистемі блокчейн, суттєво підвищуючи здатність захисту активів. Хоча технологія блокчейн має децентралізацію та прозорість як основні переваги, це також означає, що користувачам потрібно самостійно справлятися з багатьма ризиками, такими як фішинг підписів, витік приватних ключів, зловмисні програми.

Щоб досягти справжньої безпеки при ланцюгових операціях, лише покладатися на інструменти нагадування недостатньо; ключовим є створення системного усвідомлення безпеки та операційних звичок. Використовуючи апаратні гаманці, впроваджуючи стратегії ізоляції коштів, регулярно перевіряючи авторизацію та оновлюючи плагіни тощо, а також впроваджуючи в торгових операціях принципи "багатократної перевірки, відмови від сліпого підпису, ізоляції коштів", можна справді досягти "свободи та безпеки при ланцюгових операціях".

![Безпомилкові взаємодії в ланцюгу, керівництво з безпечних угод Web3, будь ласка, збережіть])https://img-cdn.gateio.im/webp-social/moments-3ec8c352d17c8834aba758d3de7beb70.webp(