DeFi CapitalУрок 6 · БезопасностьDeFi CapitalУрок 6 · БезопасностьВ вводном уроке были пять правил. Здесь разберём, как именно у людей крадут крипту, как устроить хранение так, чтобы одна ошибка не стоила всего, и что делать, если что-то уже случилось.
Блокчейн Ethereum за всю историю не взломали ни разу. Деньги уходят в тех местах, где участвует человек: его устройство, его подпись, его доверие к сообщению.
Кошельков сотни, но для вашей работы хватит двух-трёх. Список короткий нарочно: чем меньше программ, тем меньше мест, где можно ошибиться.
Самый быстрый способ потерять всё: поставить копию кошелька и ввести в неё сид-фразу. Копии выглядят один в один и иногда лежат даже в официальных магазинах приложений.
Если все деньги на одном адресе, одна неудачная подпись забирает всё. Разложите их по трём кошелькам с разной ролью, как дома: сейф, кошелёк в кармане и мелочь на чай.
Аппаратный ключ защищает, только если он настоящий и вы сами создали на нём сид-фразу. Подменённое устройство хуже, чем никакого: вы спокойны, а ключ уже у мошенника.
У сид-фразы два врага: огонь, вода и забывчивость с одной стороны, чужие глаза с другой. Хорошее хранение защищает от обоих сразу.
Перевод в блокчейне нельзя отменить. Отправили не на тот адрес или не в ту сеть, и вернуть деньги может только получатель, если захочет. Поэтому первый перевод на любой новый адрес всегда пробный.
Мошенники копируют сайт протокола до последнего пикселя и приводят на него людей: рекламой в поиске выше настоящего сайта, ссылкой в комментарии, в личном сообщении или в поддельном аккаунте проекта.
Ворам не нужна ваша сид-фраза, если вы сами подпишете им разрешение. Такая подпись часто ничего не стоит и выглядит безобидно: «подтвердите вход», «получите эирдроп», «проверка кошелька».
Вы перевели деньги на биржу. Через минуту в истории кошелька появляется перевод на $0 с адреса, который начинается и заканчивается так же, как адрес биржи. Расчёт на то, что в следующий раз вы скопируете адрес из истории.
Вы задали вопрос в чате, и через минуту вам в личку пишет «администратор». Или звонит «служба безопасности биржи», или приходит письмо от «Ledger». Цель всегда одна: чтобы вы открыли ссылку, поставили программу или назвали слова.
Сейчас самые дорогие кражи начинаются не с подписи, а с установки. Человеку назначают деловой созвон, предлагают работу или интервью, и для этого нужно «поставить программу». Программа ворует ключи браузерного кошелька и пароли.
Если на бирже вход подтверждается кодом из СМС, то ваша сим-карта и есть ключ от счёта. Мошенник по поддельной доверенности перевыпускает сим-карту на себя, получает код и выводит деньги.
Часть рисков от вас не зависит. Их нельзя убрать до нуля, но можно сделать так, чтобы одна поломка не задела весь капитал.
Крипта требует не только цифровой, но и обычной осторожности. Нападения на держателей крипты вживую, с угрозами и похищениями, участились: по данным CertiK, в 2025 году таких случаев было 72, на 75% больше, чем годом раньше. Чаще всего страдают те, кто сам рассказывал о своих деньгах.
Подписали что-то не то, ввели слова на подозрительном сайте или видите перевод, которого не делали. Счёт идёт на минуты: часто вор забирает не всё сразу, и остальное можно спасти.
☐ Я открыл этот сайт из своей закладки, а не по ссылке?
☐ Я сам начал это действие, меня никто не торопил?
☐ Я понимаю, что спишется и кому я даю разрешение?
☐ Сумма разрешения ограничена, а не «без ограничений»?
☐ Адрес и сумма на экране аппаратного ключа совпадают с задуманным?
Хотя бы одно «нет»: отклонить и спросить нас. Отмена бесплатна, ошибка нет.