#Web3SecurityGuide

Повний детальний посібник із безпеки Web3: усі основні рівні та найкращі реальні приклади

Рівень 1. Налаштування гаманця

Використовуйте апаратний гаманець для холодного зберігання, а гарячий гаманець — для щоденних операцій, і чітко позначайте їх.

Дотримуйтеся правила двох пристроїв: один чистий пристрій для холодного зберігання та один щоденний пристрій для Web3.

Увімкніть PIN-код і парольну фразу, вимкніть сліпе підписання, додайте список дозволених адрес для виведення коштів і 24-годинне блокування для нових адрес.

Ніколи не використовуйте той самий гаманець для холодного зберігання, аірдропів, тестування та degen-операцій.

Найкращий приклад: користувач зберігає 90% коштів у холодному сховищі та 10% — у гарячому гаманці. Гарячий гаманець спустошують, але кошти в холодному сховищі залишаються в безпеці.

Інший випадок: користувач використовує один гаманець для всього й втрачає все через один фішинговий інцидент.

Рівень 2. Seed-фраза та приватний ключ

Зберігайте seed-фразу офлайн на металевому носії й ніколи не зберігайте її у хмарі, пошті, нотатках телефону, браузері чи чатах.

Розділіть seed-фразу за допомогою Shamir, якщо сума значна, протестуйте відновлення під час пробного відновлення та зберігайте частини у двох географічно віддалених сейфах.

Ніколи не вводьте seed-фразу на сайті, у формі чи застосунку та ніколи не показуйте її під час демонстрації екрана або на фото.

Ніколи не зберігайте файл із приватним ключем на робочому столі чи в папці завантажень.

Найкращий приклад: користувач зберіг seed-фразу в хмарній нотатці, хмарний сервіс зламали через фішинг, і всі кошти зникли за лічені хвилини.

Другий випадок: користувач записав seed-фразу на папері, папір намок і загубився, а резервної копії не було, тому кошти назавжди залишилися недоступними.

Рівень 3. Фішинг і підроблені посилання

Підроблені заяви на отримання токенів, фальшиві аірдропи та фальшиві повідомлення від служби підтримки є основними причинами спустошення гаманців.

Завжди додавайте офіційний домен у закладки й ніколи не натискайте посилання з особистих повідомлень, електронної пошти чи рекламних банерів.

Перевіряйте URL посимвольно та шукайте гомографи, зайві дефіси й підроблені домени верхнього рівня.

Використовуйте окремий профіль браузера для Web3, блокуйте спливні вікна, вимикайте автоматичне підключення та використовуйте симуляцію транзакцій.

Найкращий приклад: підроблений сайт запуску токена виглядає так само, як справжній, просить необмежений дозвіл і спустошує гаманець одним натисканням.

Другий випадок: підроблене оновлення гаманця впроваджує шкідливий код і підміняє адресу одержувача через буфер обміну.

Третій випадок: фальшива служба підтримки просить встановити інструмент віддаленого доступу та викрадає файл сховища розширення.

Рівень 4. Дозволи та permit

Необмежений дозвіл залишається чинним, доки ви його не відкличете, і зловмисник може використати його пізніше.

Використовуйте обмежений ліміт і одноразові дозволи, а щотижня відкликайте непотрібні дозволи за допомогою спеціального інструмента.

Перевіряйте, що адреса витратника є адресою контракту, а не EOA, а також перевіряйте її вік, кількість транзакцій і наявність верифікованого вихідного коду.

Уникайте підписання permit і метатранзакцій, які дають витратнику змогу переміщувати токени без витрат на газ.

Уникайте підписання типізованих даних, які ви не можете прочитати, та не підписуйте сліпий хеш.

Найкращий приклад: користувач надав необмежений дозвіл на USDT для фармінгу, ферму зламали, і зловмисник використав чинний дозвіл, щоб викрасти USDT через кілька місяців.

Другий випадок: користувач підписав permit для безкоштовного NFT, і цей permit надав зловмиснику повне право витрачати USDC.

Рівень 5. Ризики контрактів і коду

Аудит не означає безпеку, але відсутність аудиту означає високий ризик.

Перевіряйте TVL, вік протоколу, історію команди, програму винагород за пошук помилок, мультипідпис, timelock, проксі та ключ власника.

Уникайте форків із високою дохідністю, низькою ліквідністю, анонімною командою, єдиним ключем власника та функцією mint.

Використовуйте інструмент симуляції, щоб переглянути зміну балансу та рух токенів перед підписанням.

Найкращий приклад: форк копіює код, але додає приховану функцію mint, після чого розробник карбує токени та продає їх.

Другий випадок: протокол використовує ціновий оракул із низькою ліквідністю, що призводить до флеш-позики та маніпуляції ціною.

Рівень 6. Мости та кросчейн

Міст утримує великий пул коштів, тому є пріоритетною ціллю та має складну логіку ретрансляторів і доказів.

Спочатку виконайте невелику тестову транзакцію, перевірте ID мережі та формат адреси й дочекайтеся фінальності.

Уникайте нових мостів із недостатньою кількістю аудитів, низьким TVL та єдиним валідатором.

Найкращий приклад: міст зламали через підроблений доказ, зловмисник викарбував підроблений обгорнутий токен і обміняв його на справжній.

Другий випадок: користувач надіслав кошти з неправильним ID мережі на ту саму адресу в іншій мережі й втратив їх через відсутність механізму відновлення.

Рівень 7. Безпека пристроїв і облікових записів

Використовуйте унікальну електронну адресу, надійний пароль, 2FA на основі застосунку та апаратний ключ для входу в облікові записи, на яких зберігаються значні суми.

Регулярно змінюйте API-ключі, обмежуйте IP-адреси, заблокуйте список дозволених адрес для виведення коштів і вимикайте маржинальну торгівлю та ф’ючерси, якщо не користуєтеся ними.

Блокуйте пристрій, очищайте кеш, виходьте з облікового запису після використання, перевіряйте пристрій на наявність шкідливого програмного забезпечення та уникайте зламаних інструментів і піратських ботів.

Найкращий приклад: трейдер повторно використав той самий пароль на форумі та торговому майданчику, форум зламали, і API-ключ використали для спустошення рахунку.

Другий випадок: трейдер встановив зламаного бота, і бот викрав файл із ключем.

Рівень 8. Соціальні та людські ризики

Ніколи не публікуйте прибутки та збитки, розмір гаманця, seed-фразу та місцезнаходження.

Підтверджуйте особу людини через другий канал перед надсиланням коштів і спочатку використовуйте невелику тестову суму.

Використовуйте мультипідпис для командної скарбниці та встановлюйте поріг підписів, timelock і доступ на основі ролей.

Найкращий приклад: командна скарбниця мала лише один ключ, власник ключа зник, і кошти залишилися заблокованими.

Рівень 9. План відновлення

Тримайте напоготові резервний гаманець із невеликим запасом газу в кожній мережі.

Якщо сталося спустошення, швидко перемістіть решту коштів на чистий гаманець через приватний RPC, щоб уникнути фронтранінгу.

Відкликайте дозволи з чистого пристрою та документуйте хеш транзакції й рух коштів, повідомляйте команду та додавайте мітку в оглядачі блокчейну.

Ведіть офлайн-журнал гаманців, контактів і безпечних адрес.

Щоденний чекліст професійного трейдера

1. Перевірте домен і адресу контракту в офіційній документації та оглядачі блокчейну.
2. Симулюйте транзакцію та перевірте зміну балансу й дозволів.
3. Встановіть низький ліміт і одноразовий дозвіл.
4. Спочатку протестуйте невелику суму.
5. Записуйте всі дії, щотижня переглядайте їх і відмовляйтеся від ненадійних інструментів та шкідливих звичок.

Мислення

Безпека — це звичка, а не одноразове завдання.

Невелика щоденна гігієна, апаратний гаманець, обмежені дозволи, перевірка, низький рівень довіри та швидке відкликання дозволів допомагають зберігати кошти в безпеці.

Зосереджуйтеся на процесі, а не на удачі, і прагніть до повторюваного безпечного процесу.