Посібник з безпечних транзакцій Web3: захистіть свої цифрові активи

З розвитком екосистеми блокчейну, онлайнові транзакції стали важливою складовою щоденних операцій користувачів Web3. Все більше активів користувачів переміщуються з централізованих платформ до децентралізованих мереж, і ця тенденція також означає, що відповідальність за безпеку активів поступово переходить від платформ до самих користувачів. У децентралізованому середовищі користувачі повинні нести відповідальність за кожен крок, незалежно від того, чи це імпорт гаманця, доступ до додатків, чи авторизація підпису та ініціювання транзакцій, будь-яка недбалість може призвести до серйозних загроз безпеці, таких як витік приватних ключів, зловживання авторизацією або фішингові атаки.

Хоча на даний момент основні гаманці та плагіни браузерів поступово інтегрували функції виявлення ризиків і попереджень, але перед обличчям дедалі складніших методів атаки, покладаючись лише на пасивний захист інструментів, все ще важко повністю уникнути ризиків. Щоб допомогти користувачам краще виявляти потенційні ризики в транзакціях на блокчейні, наші експерти з безпеки на основі практичного досвіду узагальнили всі етапи високих ризиків і в поєднанні з рекомендаціями щодо захисту та порадами щодо використання інструментів, розробили системний посібник з безпеки транзакцій на блокчейні, що має на меті допомогти кожному користувачеві Web3 побудувати "автономний і контрольований" захист.

Основні принципи безпечної торгівлі:

• Відмовтесь від сліпого підпису: рішуче не підписуйте угоди або повідомлення, які не розумієте.
• Повторна перевірка: перед будь-якою транзакцією обов'язково кілька разів перевірте точність відповідної інформації.

Рекомендації щодо безпечної торгівлі

Ключем до забезпечення безпеки цифрових активів є безпечні транзакції. Дослідження показують, що використання безпечних гаманців та двофакторної аутентифікації (2FA) може суттєво знизити ризики. Ось конкретні рекомендації:

• Виберіть безпечний гаманець: Використовуйте гаманці від відомих постачальників, таких як апаратні гаманці Ledger або Trezor, або деякі відомі програмні гаманці. Апаратні гаманці забезпечують функцію офлайн-складу, що може знизити ризик онлайн-атак, і підходять для зберігання великих обсягів цифрових активів.

• Уважно перевірте деталі угоди: Перед підтвердженням транзакції обов'язково перевірте адресу отримувача, суму та мережу (, щоб впевнитися, що ви використовуєте правильну блокчейн-мережу ), щоб уникнути втрат через помилки введення.

• Увімкнути двофакторну автентифікацію(2FA): Якщо торговельна платформа або гаманці підтримують 2FA, обов'язково увімкніть цю функцію для підвищення безпеки облікового запису, особливо при використанні гарячих гаманців.

• Уникайте використання громадського Wi-Fi: Не проводьте транзакції в мережах загального Wi-Fi, щоб уникнути фішингових атак і атак зловмисників.

Посібник з безпечних торгівельних операцій

Повний процес транзакції децентралізованого додатка (DApp ) містить кілька етапів: встановлення гаманця, доступ до DApp, підключення гаманця, підписання повідомлення, підписання транзакції, обробка після транзакції. Кожен етап має певні ризики безпеки, нижче буде поетапно представлено важливі аспекти, на які слід звернути увагу під час виконання операцій.

1. Встановлення гаманця

Наразі основний спосіб використання DApp - це взаємодія через гаманці-розширення для браузера. Основні гаманці, що використовуються в Ethereum та сумісних ланцюгах, включають деякі відомі гаманці-розширення.

При встановленні браузерного плагіна гаманця, необхідно переконатися, що він завантажений з офіційного магазину додатків, щоб уникнути встановлення з сторонніх сайтів та запобігти встановленню гаманця з бекдором. Користувачам, які мають можливість, рекомендується комбінувати використання апаратного гаманця для подальшого підвищення загальної безпеки управління приватними ключами.

При встановленні резервної фрази для гаманця ( зазвичай складається з 12-24 слів, рекомендовано зберігати її в безпечному офлайн-місті, подалі від цифрових пристроїв ), наприклад, написавши на папері та зберігши в сейфі (.

) 2. Відвідайте DApp

Фішинг в Інтернеті є поширеним методом атак у Web3. Типовим прикладом є спонукання користувачів відвідати фішингові програми під виглядом аеродропів, після чого, коли користувач підключає гаманця, їх спонукають підписати авторизацію токенів, перекази або підпис на авторизацію токенів, що призводить до втрати активів.

Тому, під час доступу до DApp, користувачам потрібно бути обережними, щоб уникнути пасток фішингу.

Перед відвідуванням DApp слід перевірити правильність URL-адреси. Рекомендується:

• Уникайте прямого доступу через пошукові системи: зловмисники можуть підвищувати рейтинг своїх фішингових сайтів, купуючи рекламні місця.
• Уникайте натискати на посилання в соціальних мережах: URL-адреси, опубліковані в коментарях або повідомленнях, можуть бути фішинговими.
• Неодноразово перевіряйте правильність URL-адреси DApp: можна перевірити через авторитетні платформи даних DApp, офіційні облікові записи в соціальних мережах проекту та інші джерела.
• Додайте безпечний сайт до закладок браузера: надалі можна переходити безпосередньо з закладок.

Після відкриття веб-сторінки DApp також потрібно провести перевірку безпеки адресного рядка:

• Перевірте, чи схожі домен і веб-сайт на підробку.
• Перевірте, чи є це HTTPS-посиланням, браузер має показувати значок замка🔒.

Наразі основні плагін-гаманці на ринку також інтегрували певні функції попередження про ризики, які можуть показувати сильне попередження при доступі до ризикованих веб-сайтів.

3. Підключити гаманець

Після входу в DApp може автоматично або після активного натискання на Connect відбутися підключення гаманця. Плагін-гаманець проведе деякі перевірки, відображення інформації тощо для поточного DApp.

Після підключення гаманця, зазвичай, коли користувач не виконує інших дій, DApp не активує плагін-гаманець. Якщо сайт після входу часто запитує підписати повідомлення, підписати транзакції, або навіть після відмови від підпису продовжує з'являтися запит на підпис, то це, ймовірно, є фішинговим сайтом, з яким потрібно бути обережним.

4. Підпис повідомлення

У крайніх випадках, наприклад, якщо зловмисник успішно зламав офіційний веб-сайт протоколу або здійснив атаки, такі як захоплення фронт-енду, і замінив вміст сторінки. Звичайним користувачам дуже важко в таких ситуаціях оцінити безпеку веб-сайту.

У цей час підпис гаманця плагіна є остаточним бар'єром захисту активів користувача. Лише відмовившись від зловмисного підпису, можна забезпечити захист своїх активів від втрат. Користувачі повинні уважно перевіряти вміст підпису перед підписанням будь-яких повідомлень і транзакцій, відмовлятися від сліпих підписів, щоб уникнути втрат активів.

Звичайні типи підписів включають:

• eth_sign: підписати хеш-дані.
• personal_sign: підписання відкритої інформації, що є найпоширенішим під час перевірки входу користувача або підтвердження угоди про згоду.
• eth_signTypedData###EIP-712(: підписання структурованих даних, що часто використовується для Permit ERC20, NFT лістингів тощо.

) 5. Підпис угоди

Підпис交易 використовується для авторизації блокчейн交易, таких як переказ або виклик смарт-контракту. Користувач підписує за допомогою приватного ключа, мережа перевіряє дійсність交易. Наразі багато плагін-гаманців розшифровують повідомлення, що підлягають підпису, і показують відповідний вміст, обов'язково дотримуйтесь принципу не підписувати сліпо, рекомендації з безпеки:

• Уважно перевірте адресу отримувача, суму та мережу, щоб уникнути помилок.
• Рекомендується офлайн-підписання для великих транзакцій, щоб зменшити ризик онлайн-атак.
• Зверніть увагу на газові витрати, забезпечте їх розумність, уникайте шахрайства.

Для користувачів з певним технічним запасом також можна використовувати деякі звичайні методи ручної перевірки: перевірка шляхом копіювання адреси цільового контракту в блокчейн-браузер, основний зміст перевірки включає в себе, чи відкритий контракт, чи не було великої кількості транзакцій останнім часом та чи не позначено браузером цю адресу як офіційну або шкідливу.

![Ланцюгові взаємодії без помилок, посібник з безпечних транзакцій Web3, будь ласка, збережіть]###https://img-cdn.gateio.im/webp-social/moments-6af084a4250aee742e535f7435bf93c2.webp(

) 6. Обробка угод

Уникнення фішингових веб-сторінок і шкідливих підписів не означає, що все добре. Після угоди також необхідно проводити управління ризиками.

Після交易 необхідно своєчасно перевірити стан ланцюга транзакції, щоб підтвердити, чи відповідає він очікуваному стану під час підписання. Якщо виявлено аномалії, терміново здійснити операції з переміщення активів, скасування авторизації та інші дії для обмеження збитків.

Управління схваленнями ERC20 також є дуже важливим. У деяких випадках користувачі надавали токен на певні контракти, а через кілька років ці контракти зазнавали атаки, і зловмисники використовували обсяги токенів, надані для атакованих контрактів, щоб викрасти кошти користувачів. Щоб уникнути подібних ситуацій, наша команда безпеки рекомендує користувачам дотримуватись наступних стандартів для запобігання ризикам:

• Мінімізація авторизації. Під час авторизації токенів потрібно обмежити кількість токенів відповідно до вимог транзакції. Якщо для певної транзакції потрібно авторизувати 100 USDT, тоді кількість авторизації має бути обмежена до 100 USDT, а не використовувати стандартну безмежну авторизацію.
• Вчасно відкликати непотрібні авторизації токенів. Користувачі можуть увійти в деякі інструменти управління авторизаціями, щоб перевірити статус авторизацій відповідних адрес, відкликати авторизації протоколів, які давно не використовувалися, щоб запобігти виникненню вразливостей, які можуть призвести до втрати активів через використання авторизаційних лімітів користувачів.

Стратегія ізоляції коштів

Якщо у вас є усвідомлення ризиків і ви вжили достатніх заходів для їх запобігання, також рекомендується здійснити ефективну ізоляцію коштів, щоб зменшити ступінь їхніх збитків у екстремальних ситуаціях. Рекомендуємо наступні стратегії:

• Використовуйте мультипідписний гаманець або холодний гаманець для зберігання великих сум цифрових активів;
• Використовуйте плагінні гаманці або EOA-гаманці як гарячі гаманці для щоденної взаємодії;
• Регулярно змінюйте адреси гарячого гаманця, щоб запобігти постійному впливу адреси на ризикове середовище.

Якщо випадково дійсно сталося фішинг, ми рекомендуємо негайно виконати наступні заходи, щоб зменшити втрати:

• Скасувати високий ризик авторизації за допомогою інструментів управління авторизаціями;
• Якщо підписано permit, але активи ще не були переміщені, можна негайно ініціювати новий підпис, щоб зробити старий підпис nonce недійсним;
• У разі необхідності, швидко перенесіть залишкові активи на нову адресу або холодний гаманець.

![Ланцюгова взаємодія без помилок, безпечний торговий посібник Web3, будь ласка, збережіть]###https://img-cdn.gateio.im/webp-social/moments-6ee2b511a2456347db280731b41163ca.webp(

Безпечна участь у аірдропах

Аірдроп є поширеним способом просування блокчейн-проєктів, але в ньому також приховані ризики. Ось кілька порад:

• Дослідження фону проекту: забезпечити наявність чіткого білого паперу, публічної інформації про команду та репутації спільноти;
• Використовуйте спеціальну адресу: зареєструйте спеціальний гаманець і електронну пошту, ізолюйте ризики основного рахунку;
• Обережно натискайте на посилання: отримуйте інформацію про аеродропи лише через офіційні канали, уникайте натискання на підозрілі посилання в соціальних мережах;

Вибір і рекомендації щодо використання плагінів

Вміст правил безпеки блокчейну є великим, і не завжди можливо детально перевіряти кожну взаємодію, тому вибір безпечних плагінів є надзвичайно важливим, оскільки вони можуть допомогти нам у оцінці ризиків. Ось конкретні рекомендації:

• Довірені розширення: використовуйте браузерні розширення з високим рівнем використання, такі як деякі відомі плагіни гаманців. Ці плагіни забезпечують функції гаманців і підтримують взаємодію з DApp.
• Перевірка рейтингу: Перед установкою нових плагінів перевірте рейтинг користувачів та кількість встановлень. Високий рейтинг та велика кількість установок зазвичай вказують на те, що плагін є більш надійним, що зменшує ризик наявності шкідливого коду.
• Тримайте оновленим: регулярно оновлюйте свої плагіни, щоб отримати останні функції безпеки та виправлення. Застарілі плагіни можуть містити відомі вразливості, які легко можуть бути використані зловмисниками.

Висновок

Дотримуючись наведених вище порад щодо безпечних транзакцій, користувачі можуть більш впевнено взаємодіяти в дедалі складнішій екосистемі блокчейну, суттєво підвищуючи захист своїх активів. Хоча технологія блокчейн є децентралізованою та прозорою, це також означає, що користувачам потрібно самостійно впоратися з численними ризиками, такими як фішинг підписів, витік приватних ключів, шкідливі програми.

Щоб досягти справжньої безпеки при запису в блокчейн, лише покладатися на інструменти для сповіщення недостатньо; ключовим є встановлення системної обізнаності про безпеку та операційних звичок. Використовуючи апаратні гаманці, впроваджуючи стратегії ізоляції коштів, регулярно перевіряючи авторизацію та оновлюючи плагіни тощо, а також дотримуючись принципів "багатофакторна перевірка, відмова від сліпого підписання, ізоляція коштів" під час виконання транзакцій, можна справді досягти "вільного та безпечного запису в блокчейн".

![Безпомилкові взаємодії на ланцюгу, будь ласка, збережіть посібник з безпечної торгівлі Web3])https://img-cdn.gateio.im/webp-social/moments-3ec8c352d17c8834aba758d3de7beb70.webp(