Подписи и адреса
Урок 14 из 16 курса «Кибербезопасность с нуля: курс с нуля». Бесплатно, с анимациями и тестом.
Отравление адреса
Адрес кошелька длинный, поэтому мы проверяем только начало и конец. Мошенники этим пользуются: создают адрес, у которого совпадают первые и последние символы, и отправляют тебе с него пустой перевод. Он попадает в историю, и в следующий раз ты копируешь его вместо настоящего. В мае 2024 года так одним переводом ушло 1155 WBTC, около $68 млн. Владельцу повезло, деньги позже вернули, но обычно их не возвращают.
Подпись — это не «просто подпись»
Кошелёк просит подтвердить не только переводы. Разрешение даёт контракту право забирать твой токен и потом, иногда без лимита. Подпись permit делает то же самое, но выглядит как безобидное «подпишите сообщение» и даже не требует комиссии. А после обновления Ethereum в мае 2025 года появилась подпись, передающая управление аккаунтом стороннему коду. Мошенники уже ставят туда «подметальщиков», которые выгребают всё, что приходит на адрес. Сайты-дрейнеры, то есть «осушители», выманивают именно такие подписи.
Даже профи подписывают вслепую
21 февраля 2025 года у биржи Bybit ушло $1,5 млрд. Взломщики заразили компьютер разработчика сервиса Safe{Wallet}, через который Bybit подписывала переводы. Сотрудники видели на сайте обычный перевод и подписали его. На самом деле подпись передала контроль над кошельком. Вывод для нас: если кошелёк показывает непонятный код вместо ясного «отправить X туда-то», это слепая подпись. Такое не подписывают.
Как не попасться
Адрес копируй из своих контактов или с экрана получателя, а не из истории переводов. Перед крупной суммой отправь маленький тестовый перевод и попроси подтвердить. Раз в месяц открывай revoke.cash или похожий сервис и отзывай незнакомые разрешения. Для новых проектов, раздач и мем-коинов держи отдельный кошелёк с небольшой суммой. А основной не подключай никуда, кроме проверенных мест.
Проверь себя
- В истории переводов Дэна адрес, похожий на адрес друга: начало и конец совпадают. Откуда брать адрес для перевода?
Правильный ответ: Из сохранённых контактов или у друга, и сначала тестовый перевод. Похожий адрес в истории — ловушка отравления. Источник адреса должен быть твоим. - Сайт раздачи просит «просто подписать сообщение», комиссии нет. Чем это опасно?
Правильный ответ: Подпись может дать право забрать токены. Подписи permit и передача управления работают без комиссии и забирают всё. - Кошелёк показывает при подписи непонятный набор символов вместо «отправить X». Что делать?
Правильный ответ: Отклонить: это слепая подпись. Не понимаешь, что подписываешь, — не подписывай. Так потеряла $1,5 млрд даже Bybit.