Посібник з безпеки торгівлі Web3: ключові практики захисту цифрових активів

З розвитком екології блокчейн, онлайнові транзакції стали невід'ємною частиною повсякденного життя користувачів Web3. Активи користувачів прискорено мігрують з централізованих платформ до децентралізованих мереж, що означає, що відповідальність за безпеку активів поступово переходить від платформи до самих користувачів. У середовищі блокчейн кожен крок вимагає від користувача особистої відповідальності, незалежно від того, чи це імпорт гаманця, доступ до додатків, чи підписання авторизацій і ініціювання транзакцій, будь-яка необережна дія може спричинити загрозу безпеці, що призведе до витоку приватних ключів, зловживання авторизацією або серйозних наслідків, таких як фішингові атаки.

Хоча в даний час основні плагіни гаманців та браузери поступово інтегрували функції виявлення фішингу, попередження про ризики та інші, проте, зважаючи на все більш складні методи атак, покладаючись лише на пасивний захист інструментів, все ще важко повністю уникнути ризику. Щоб допомогти користувачам краще ідентифікувати потенційні ризики в онлайнових транзакціях, ми на основі практичного досвіду проаналізували всі етапи високоризикових ситуацій та, поєднуючи рекомендації щодо захисту та поради щодо використання інструментів, розробили систематичний посібник з безпеки онлайнових транзакцій, що має на меті допомогти кожному користувачеві Web3 встановити "автономний контроль" безпековий бар'єр.

Основні принципи безпечної торгівлі:

• Відмовтеся від сліпого підписання: категорично не підписуйте угоди чи повідомлення, які не розумієте.
• Повторна перевірка: перед здійсненням будь-якої угоди обов'язково багаторазово перевірте точність відповідної інформації.

Один, Рекомендації щодо безпечної торгівлі

Ключ до захисту цифрових активів полягає в безпечних транзакціях. Дослідження показують, що використання безпечних гаманців та двофакторної аутентифікації (2FA) може значно знизити ризики. Ось конкретні рекомендації:

• Виберіть безпечний гаманець:

Перевага надається постачальникам гаманців з доброю репутацією, таким як апаратні гаманці або відомі програмні гаманці. Апаратні гаманці забезпечують функцію зберігання в офлайн-режимі, що суттєво знижує ризик онлайн-атак, особливо для зберігання великих цифрових активів.

• Уважно перевірте деталі угоди:

Перед підтвердженням транзакції обов'язково перевірте адресу отримання, суму та мережу (наприклад, переконайтеся, що використовується правильний ланцюг), щоб уникнути втрат через помилки введення.

• Увімкніть двофакторну аутентифікацію (2FA):

Якщо біржа або гаманець підтримує 2FA, настійно рекомендується його увімкнути для покращення безпеки облікового запису, особливо при використанні гарячого гаманця.

• Уникайте громадного Wi-Fi:

Уникайте проведення транзакцій в мережах загального Wi-Fi, щоб уникнути фішингових атак та атак посередників.

Два, як здійснювати безпечні угоди

Повний процес交易дезентралізованих додатків охоплює кілька етапів: установка гаманця, доступ до додатка, підключення гаманця, підписування повідомлень, підписування транзакцій, обробка після транзакцій. На кожному етапі існують певні ризики безпеки, нижче будуть детально розглянуті моменти, на які слід звернути увагу під час фактичних операцій.

1. Встановлення гаманця:

Наразі децентралізовані додатки в основному взаємодіють через браузерні плагін-гаманці. Основні гаманці, що використовуються на EVM-сумісних ланцюгах, включають кілька варіантів.

При встановленні гаманця Chrome піклуйтеся про те, щоб завантажити та встановити його виключно з офіційного магазину додатків Chrome, уникаючи встановлення з третіх сторін, щоб запобігти установці гаманця з шкідливим програмним забезпеченням. Користувачам, які мають таку можливість, рекомендується комбінувати використання з апаратним гаманцем для подальшого підвищення загальної безпеки управління приватними ключами.

При встановленні резервної фрази для гаманця (зазвичай це від 12 до 24 слів), рекомендується зберігати її у безпечному офлайн-місті, подалі від цифрових пристроїв (наприклад, записавши на папері та зберігши в сейфі).

2. Відвідування децентралізованих додатків

Фішинг на веб-сайтах є поширеним методом атак у Web3. Типовим прикладом є спроба змусити користувачів відвідати фішингові додатки під приводом аердропу, після чого користувачів спонукають підписати авторизацію токенів, транзакції переказу або підписання авторизації токенів, що призводить до втрати активів.

Тому, під час відвідування децентралізованих додатків, користувачі повинні бути настільки обережними, щоб уникнути потрапляння в пастку фішингу.

Перед доступом до програми слід підтвердити правильність веб-адреси. Рекомендації:

• Уникайте прямого доступу через пошукові системи: фішингові зловмисники можуть підвищити рейтинг своїх фішингових сайтів, купуючи рекламні місця.
• Уникайте натискання на посилання в соціальних мережах: URL-адреси, опубліковані в коментарях або повідомленнях, можуть бути фішинговими.
• Повторно підтверджуйте правильність веб-адреси програми: можна перевірити через кілька авторитетних платформ.
• Додайте безпечний сайт до закладок браузера: потім можна буде відвідувати його безпосередньо з закладок.

Після відкриття веб-сторінки програми також необхідно провести перевірку безпеки адресного рядка:

• Перевірте, чи існує подібність у заплутуванні доменів та веб-адрес.
• Підтвердіть, що це HTTPS-посилання, браузер має показувати значок замка🔒.

Наразі основні плагін-гаманці на ринку також інтегрували певні функції попередження про ризики, які можуть показувати сильне сповіщення при доступі до ризикових веб-сайтів.

3. Підключити гаманець

Після входу в додаток, можливо, автоматично або після активного натискання на з'єднання буде активовано операцію з'єднання гаманця. Плагін гаманець проведе деякі перевірки, відобразить інформацію тощо для поточного додатку.

Після підключення гаманця зазвичай, коли користувач не виконує інших дій, застосунок не ініціює плагін-гаманець. Якщо веб-сайт часто запитує підпис повідомлення, підписання транзакцій після входу, або навіть після відмови від підписання все ще постійно з'являються запити на підпис, це може свідчити про фішинговий сайт, з яким потрібно бути обережним.

4. Підпис повідомлення

У крайніх випадках, якщо зловмисник успішно зламає офіційний веб-сайт протоколу або замінить вміст сторінки через атаки типу захоплення фронтенду, звичайному користувачеві буде важко визначити безпеку сайту в такому сценарії.

На цьому етапі підпис плагін-гаманця є останньою лінією захисту активів користувача. Досить відмовитися від зловмисних підписів, щоб захистити свої активи від втрат. Користувачі повинні уважно перевіряти вміст підпису при підписанні будь-яких повідомлень і угод, відмовлятися від сліпих підписів, щоб уникнути втрати активів.

Звичайні типи підписів включають:

• eth_sign: підписати хешовані дані.
• personal_sign: підписання відкритої інформації, найчастіше використовується під час перевірки входу користувача або підтвердження угоди про дозвіл.
• eth_signTypedData (EIP-712): підписання структурованих даних, що часто використовується для взаємодії з певними цифровими активами.

5: Підпис交易

Підпис транзакції використовується для авторизації транзакцій у блокчейні, таких як перекази або виклик смарт-контрактів. Користувач підписує приватним ключем, мережа перевіряє дійсність транзакції. Наразі багато плагін-карток декодують повідомлення для підпису та відображають відповідний вміст, обов'язково дотримуйтесь принципу не сліпого підпису, рекомендації з безпеки:

• Уважно перевірте адресу отримувача, суму та мережу, щоб уникнути помилок.
• Для великих транзакцій рекомендується офлайн-підпис, щоб зменшити ризик онлайн-атак.
• Зверніть увагу на газові витрати, переконайтеся, що вони розумні, щоб уникнути шахрайства.

Для користувачів з певним технічним запасом також можна використовувати деякі поширені методи ручної перевірки: шляхом копіювання адреси цільового контракту в блокчейн-браузер для перевірки, зміст перевірки в основному включає в себе, чи є контракт з відкритим вихідним кодом, чи відбувалися останнім часом великі обсяги торгів та чи отримала ця адреса офіційні мітки або зловмисні мітки тощо.

6. Обробка після угоди

Уникаючи фішингових веб-сторінок і шкідливих підписів, не означає, що ви абсолютно в безпеці; після торгівлі все ще потрібно проводити управління ризиками.

Після угоди слід своєчасно перевірити стан угоди в ланцюзі, щоб підтвердити, чи відповідає він очікуваному стану під час підписання. Якщо виявлено аномалії, терміново здійсніть такі операції, як переведення активів, скасування авторизації тощо, для запобігання збиткам.

Керування авторизацією токенів також є дуже важливим. У деяких випадках користувачі після авторизації токенів для певних контрактів, через кілька років ці контракти зазнають нападу, а зловмисники використовують авторизаційний ліміт токенів атакованого контракту для викрадення коштів користувачів. Щоб уникнути подібних ситуацій, ми рекомендуємо користувачам дотримуватись наступних стандартів для запобігання ризикам:

• Мінімізуйте авторизацію. Коли здійснюється авторизація токенів, слід обмежити кількість авторизованих токенів відповідно до потреби угоди. Якщо для певної угоди потрібно авторизувати 100 токенів, то кількість авторизації повинна бути обмежена 100 токенами, а не використовувати стандартну безмежну авторизацію.
• Своєчасно відкликати непотрібні авторизації токенів. Користувачі можуть увійти в відповідні інструменти для перевірки стану авторизації відповідних адрес, відкликати авторизацію протоколів, які давно не взаємодіяли, щоб запобігти можливим вразливостям у протоколах, які можуть призвести до втрати активів через використання авторизаційних лімітів користувачів.

Три, стратегія ізоляції коштів

При наявності усвідомлення ризиків та достатніх заходів запобігання ризикам, також рекомендується здійснити ефективну ізоляцію коштів, щоб зменшити ступінь втрат у випадку екстремальних ситуацій. Рекомендовані стратегії такі:

• Використовуйте мультипідписний гаманець або холодний гаманець для зберігання великих сум цифрових активів;
• Використовуйте плагін-гаманець або звичайний гаманець як гарячий гаманець для щоденних взаємодій;
• Регулярно змінюйте адресу гарячого гаманця, щоб запобігти постійному впливу адреси на ризикове середовище.

Якщо ви на жаль зіткнулися з ситуацією фішингу, рекомендується негайно вжити наступних заходів для зменшення збитків:

• Використовуйте відповідні інструменти для скасування високоризикових авторизацій;
• Якщо підписано певний підпис, але активи ще не були передані, можна негайно ініціювати новий підпис, щоб зробити старий підпис недійсним;
• У разі необхідності швидко перемістіть залишкові активи на нову адресу або холодний гаманець.

Чотири, як безпечно брати участь у аірдропах

Аірдроп є поширеним способом просування блокчейн-проектів, але в ньому також криються ризики. Ось кілька порад:

• Дослідження фону проєкту: забезпечити наявність чіткого білого документа, відкритої інформації про команду та репутації спільноти;
• Використовуйте спеціальну адресу: зареєструйте спеціальний гаманець та електронну пошту, щоб ізолювати ризики основного рахунку;
• Обережно натискайте на посилання: отримуйте інформацію про аеродропи лише через офіційні канали, уникайте натискання на підозрілі посилання в соціальних мережах;

П'яти, вибір та рекомендації щодо використання плагінів

Вміст правил безпеки блокчейну дуже великий, і не завжди можливо проводити ретельну перевірку під час кожної взаємодії; вибір безпечних плагінів є надзвичайно важливим, оскільки вони можуть допомогти нам зробити оцінку ризиків. Нижче наведені конкретні рекомендації:

• Довірені розширення: використовуйте широко вживані розширення браузера. Ці плагіни надають функцію гаманця та підтримують взаємодію з децентралізованими додатками.
• Перевірка рейтингу: перед встановленням нового плагіна перевірте рейтинг користувачів та кількість установок. Високий рейтинг і велика кількість установок зазвичай свідчать про більшу надійність плагіна, зменшуючи ризик наявності шкідливого коду.
• Залишайтеся в курсі: регулярно оновлюйте свої плагіни, щоб отримувати останні функції безпеки та виправлення. Застарілі плагіни можуть містити відомі вразливості, які легко можуть бути використані зловмисниками.

Шість, висновки

Дотримуючись вищезазначених рекомендацій щодо безпечних транзакцій, користувачі можуть більш впевнено взаємодіяти у все складнішій екосистемі блокчейну, суттєво підвищуючи захист своїх активів. Незважаючи на те, що технологія блокчейн має децентралізацію та прозорість як свої основні переваги, це також означає, що користувачам потрібно самостійно справлятися з багатьма ризиками, включаючи фішинг підписів, витік приватних ключів, шкідливі додатки.

Щоб досягти справжньої безпеки при інтеграції в блокчейн, покладатися лише на інструменти нагадування недостатньо; ключовим є створення системного усвідомлення безпеки та операційних звичок. Використовуючи апаратні гаманці, впроваджуючи стратегії ізоляції коштів, регулярно перевіряючи авторизації та оновлюючи плагіни, а також дотримуючись принципів "багатократна перевірка, відмова від сліпого підпису, ізоляція коштів" під час транзакцій, можна досягти справжньої "свободи та безпеки при інтеграції в блокчейн".