Лучшие практики безопасности для Solana: советы, которые защитят тебя

Представь: открываешь свой wallet, где хранятся твои цифровые активы, а их там уже нет. Никакой ошибки сети или отображения: кто-то взломал твои ключи и вынес всё подчистую.

Такого не хочется пережить никому. Web3 даёт свободу и огромные возможности, но вместе с тем и риски. Именно поэтому важно знать практики безопасности Solana, чтобы подобный сценарий остался лишь гипотетическим.

В этой статье разберём советы, которым нужно следовать, чтобы активы в твоём Solana оставались в безопасности.

Реальный случай: когда безопасность дала сбой

В Smithii мы всегда ставим безопасность пользователей на первое место. Но это не мешает мошенникам пытаться воспользоваться ситуацией. Недавно один из наших пользователей попался на уловку и лишился своих $SOL.

Мы наткнулись на тред на Reddit, где описан случай пользователя, у которого слили 2.9 $SOL якобы из-за нашего launchpad. Вот как всё развивалось:

1. Успешно создал token с помощью нашего инструмента для Solana.
2. Появились вопросы. Зашёл в официальный Discord за ответами.
3. Пополнил wallet на 2.8 $SOL, и через 10 минут деньги исчезли.
4. Связался с «нашим техническим руководителем», объяснил ситуацию. Тот посоветовал снова пополнить wallet на ту же сумму, чтобы «починить» проблему.
5. Он написал о своей ситуации на Reddit.

Мы сразу посоветовали ему открыть тикет на нашем официальном сервере Discord, чтобы разобраться в ситуации. Он так и сделал, и оказалось, что кто-то притворился членом нашей команды. Пользователю написал «технический руководитель Smithii» и попросил его верифицировать свой wallet на стороннем сайте.

Что произошло дальше? Пользователь открыл доступ к wallet, и мошенник слил все активы. После этого он порекомендовал пополнить баланс ещё на $SOL, чтобы забрать и их тоже.

Наша служба поддержки заблокировала мошенника и объяснила пользователю, что именно произошло. Кроме того, ему предоставили PRO-доступ на один день, чтобы он мог заново создать token, не оплачивая fees нашей dApp. Об этом сам пользователь написал в обновлении на Reddit о своём случае с мошенником.

Эта ситуация, хотя при разборе кажется очевидной, встречается куда чаще, чем можно подумать. Именно поэтому важно соблюдать правила безопасности в Solana и других blockchain/Web3-экосистемах. Да, здесь больше возможностей и свободы, но вместе с ними приходят и реальные риски.

Безопасность в Solana: как защитить себя и не попасть в ловушку

Чтобы оставаться в безопасности в экосистеме Solana (и в web3 в целом), следуй этим советам. По сути, это должно стать твоей стандартной практикой.

Запиши свою Seed Phrase на бумаге и никому не давай

Seed Phrase: уникальный набор из 12-24 случайных слов, который генерируется при создании wallet. Тот, у кого есть эта фраза, получает полный контроль над wallet, поэтому храни её на бумаге в надёжном месте. Не носи с собой и не оставляй на виду. Место хранения должно быть полностью защищено от посторонних.

Хранить Seed Phrase в цифровом виде небезопасно: операционные системы и сервисы хранения данных могут быть скомпрометированы самыми разными способами.

И помни: твоя Seed Phrase должна быть только у тебя. Ни служба поддержки, ни акции, ни airdrop-кампании, ни другие платформы никогда не попросят её для подтверждения каких-либо действий.

Используй несколько wallet

Лучшие кошельки для Solana позволяют создавать несколько кошельков и управлять ими в рамках одного аккаунта. Рекомендуем завести отдельный wallet для хранения активов (cold wallet будет ещё надёжнее), ещё один для повседневных операций и отдельный для подключения к платформам и тестирования.

Если использовать один wallet для всего, достаточно одного фишингового сайта или скам-ссылки, чтобы потерять всё. Лучше подключай пустой wallet к сомнительным dApps и тестируй с минимальной суммой активов.

Если wallet окажется скомпрометирован, просто удали его и создай новый: остальные кошельки не пострадают и токены не утекут.

Хочешь пойти ещё дальше? Используй два разных браузера и в каждом заведи wallet с Seed Phrase. Впрочем, подключение wallet к dApp само по себе не открывает доступ к другим кошелькам, но это надёжный способ полностью разделить аккаунты.

Cold Wallet: максимальная защита твоих активов

Cold wallet: особый тип wallet, который хранит private keys без подключения к интернету. По сути, это физическое устройство с твоими активами: переводить их можно только при его непосредственном использовании. Получить удалённый доступ к твоему wallet посторонние не смогут.

С другой стороны, настолько надёжная защита неизбежно «усложняет» авторизацию транзакций, поэтому использовать её как основной wallet для повседневных операций не стоит. К тому же всегда есть риск потерять само устройство или seed phrase вместе со всеми активами.

Проверяй платформы перед подключением

Стандартный запрос на авторизацию, который ты подтверждаешь при транзакции или подключении к dApp, может содержать скрытые инструкции или разрешения на перевод средств без твоего ведома.

Мошеннические платформы нередко не действуют сразу: они ждут, пока на аккаунте накопится достаточно активов, чтобы у тебя не возникло подозрений. Чтобы не попасться на такие схемы, следуй этим простым правилам безопасности на Solana:

• Всегда проверяй URL платформы: фишинговые зеркала умело копируют интерфейс, но адрес их выдаёт. Чаще всего в URL встречается «vercel» или «development», а также нестандартные домены (.xyz или бесплатные зоны вроде blogspot).
• Сначала изучи проект, потом подключайся. Например, у нас есть независимые аудиты и отзывы на TrustPilot. Если платформа, требующая подключить твой wallet, не имеет ни отзывов, ни верификации, скорее всего, это скам.
• Добавляй официальные сайты в закладки и не доверяй поисковикам: они порой выводят мошеннические страницы в «рекламных» позициях вместо официального ресурса.
• Отключай wallet и отзывай разрешения после тестирования dApp.

Настоящая поддержка не пишет в личку

Мы уже разбирали этот реальный случай: один из наших пользователей принял постороннего за члена команды Smithii и потерял все средства. Никогда не принимай помощь через DM, особенно если ты сам ничего не запрашивал. Наша команда не будет просить тебя верифицировать wallet на сторонней платформе и никогда не запросит private keys или seed phrase.

Что делать, если wallet Solana скомпрометирован?

Соблюдение этих правил безопасности в Solana не позволит злоумышленникам получить доступ к твоим активам. Если заметишь подозрительную активность в своём wallet, действуй следующим образом:

1. Без паники, действуй быстро: вполне возможно, что спасти средства ещё не поздно.
2. Создай новый wallet и переведи туда свои средства. Не отправляй ничего на старые кошельки или те, которые тоже могут быть скомпрометированы.
3. Делай скриншоты и фиксируй всё произошедшее, чтобы можно было сообщить о мошенническом сайте или человеке, укравшем твои активы.
4. Удали скомпрометированный wallet. Можно отозвать выданные разрешения, но надёжнее создать новый.
5. Разбери, где допустил ошибку, и сделай выводы, чтобы не попасться на то же самое снова.

Криптосообщество постоянно сообщает о кражах и мошеннических сайтах. Phantom, например, ведёт список верифицированных и безопасных dApps в котором есть Smithii Tools. Кроме того, сервис блокирует сайты, на которые жалуются пользователи. Если зайдёшь на скам-сайт, уже помеченный Phantom, увидишь предупреждение, которое закроет доступ, как показано ниже.

Заключение: практики безопасности в Solana

Сделай эти рекомендации привычкой и никогда не забывай о лучших практиках безопасности в Solana и Web3 в целом. Только ты отвечаешь за свои активы и доступ к счетам, поэтому прими все возможные меры, чтобы никто не опустошил твои средства.

Подпишись на newsletter Smithii, чтобы не пропускать новости о Solana, и добавь наши страницы в закладки. Так удобнее управлять своими Web3-проектами безопасно и эффективно.

Jorge Rodriguez

CEO и Co-Founder Smithii. Строит на Solana с 2021 и делится playbook’ами из практики. Также founder Lince после лет инвестирования в DeFi.