Разрешения и подписи

Подпись сообщения в кошельке: когда «просто войти» опасно

Обновлено 3 мин чтения

Коротко

  • Подпись сообщения не стоит комиссии, поэтому кажется безопасной. Но подписью можно отдать разрешение на токены или подтвердить чужую транзакцию.
  • Безопасна подпись читаемого текста: «Войти на example.com, код 4821».
  • Длинная шестнадцатеричная строка, типизированные данные с суммой или адресом, предупреждение кошелька — повод отклонить.

Зачем сайты просят подпись

Честная причина одна: доказать, что вы владеете адресом, не отправляя транзакцию. Так устроен вход на многие сервисы. Текст такой подписи читается человеком: адрес сайта, дата, одноразовый код.

Мошенники пользуются тем, что подпись «бесплатна» и не выглядит как перевод.

Опасные подписи

  • Слепая подпись. Вам показывают строку вида 0x8f3a… без пояснений. Это может быть отпечаток транзакции: подписав его, вы подтверждаете перевод или изменение прав, которые мошенник отправит в сеть сам.
  • Типизированные данные (TIP-712 и аналоги). Внутри — поля вроде spender, amount, deadline. Это разрешение на ваши токены или заказ на продажу, оформленные без транзакции.
  • Подпись «для проверки AML» или «разблокировки». Ни проверка адреса, ни разморозка подписи не требуют: /check работает по одному адресу.

Как читать окно кошелька

  • Найдите адрес сайта, который запрашивает подпись. Он совпадает с тем, что вы открыли?
  • Ищите слова spender, amount, approve, permit, адреса и суммы. Для входа на сайт они не нужны.
  • Предупреждение кошелька о риске или «неизвестном типе данных» — достаточно, чтобы отклонить.

Если вы уже подписали

  1. Проверьте разрешения адреса в GuardPay /revoke и отзовите незнакомые, см. бесконечные разрешения.
  2. Проверьте, не изменились ли права аккаунта, см. ловушка с мультиподписью.
  3. Если признаки есть, переведите средства на новый адрес и действуйте по шагам что делать, если вас обманули.

Проверьте и отзовите разрешения

Кому вы разрешили тратить свои USDT — прямо из контракта. Отзыв в вашем кошельке: одна подпись на разрешение, ключи остаются у вас.

Проверить разрешения

Частые вопросы

Можно ли отменить подпись сообщения?

Саму подпись отозвать нельзя. Если она дала разрешение на токены, его можно отозвать транзакцией в кошельке. Если подписана чужая транзакция, она уже в сети, и помогает только перевод остатка на новый адрес.

Безопасен ли вход на сайт через подпись?

Да, если в окне читаемый текст с адресом сайта и кодом, без сумм и адресов-получателей. Такую подпись нельзя использовать для перевода денег.

Материал объясняет, как устроены схемы и как от них защититься. Это не юридическая и не финансовая консультация.

Читайте также