Короткий ответ: неизвестный токен лучше не переводить, не продавать и не обменивать, пока не проверены сеть, адрес контракта и источник поступления. Само появление токена на публичном адресе обычно не даёт его создателю доступ к другим активам. Опасность возникает, когда владелец переходит по указанной мошенниками ссылке, подключает кошелёк или подписывает разрешение либо транзакцию.
Самое безопасное первое действие – ничего не делать. Запишите сеть и адрес контракта, откройте входящую операцию в обозревателе и проверьте факты без подключения кошелька. Если актив оказался спамом, его можно скрыть в интерфейсе. Не пытайтесь «очистить» адрес отправкой токена на случайный или нулевой адрес: это требует взаимодействия с неизвестным контрактом и не делает кошелёк безопаснее.
Почему неизвестный токен мог появиться сам
Адрес некастодиального кошелька публичен. Любой человек или программа может отправить на него совместимый токен без согласия владельца. Для этого не нужны пароль, seed-фраза или доступ к приложению. Поэтому неизвестный актив не доказывает взлом.
Причины поступления бывают разными:
- реальный airdrop проекта, в котором пользователь участвовал;
- тестовое или ошибочное распределение токенов;
- спам-рассылка по адресам с активностью в блокчейне;
- поддельный токен с названием известной монеты;
- ловушка, которая обещает большую стоимость, но не позволяет продать актив;
- реклама мошеннического сайта в названии токена или данных транзакции.
Название и значок не подтверждают подлинность. В одной сети могут существовать десятки контрактов с одинаковым тикером. Точную идентификацию дают сеть и полный адрес контракта. Почему это важнее красивого названия, подробно разобрано в материале об адресе, сети и контракте токена.
Что проверить, не взаимодействуя с токеном
- Убедитесь, что открыт нужный адрес. Сравните его полностью, а не только первые и последние символы.
- Запишите сеть. Один и тот же адрес может использоваться в нескольких EVM-сетях, но балансы и контракты там разные.
- Откройте входящую транзакцию. Используйте обозреватель соответствующей сети и найдите отправителя, контракт, количество токенов и время перевода.
- Скопируйте адрес контракта. Не переходите по URL из названия актива, комментария к операции или сообщения об ошибке.
- Проверьте происхождение. Вспомните, участвовали ли вы в официальном airdrop, тестнете или программе вознаграждений этого проекта.
- Сверьте контракт. Ищите его только на официальном сайте и в официальной документации проекта.
- Оцените предупреждения. Обозреватель или кошелёк может пометить контракт как spam, suspicious, warning или malicious.
Подробная последовательность сверки есть в инструкции как проверить контракт токена перед добавлением в кошелёк. Не считайте токен настоящим только потому, что агрегатор показывает цену. У поддельного актива может быть нарисованная оценка без реальной ликвидности и возможности продажи.
Признаки спам-токена или ловушки
| Признак | Почему это опасно | Безопасное действие |
|---|---|---|
| URL в названии токена | Ссылка может вести на фишинговый сайт | Не открывать, скрыть токен |
| Неожиданно высокая цена | Оценка может не иметь реального рынка | Не пытаться срочно продать |
| Ошибка при переводе | Контракт может специально запрещать продажу | Не повторять операцию |
| Просьба подтвердить approve | Разрешение может открыть доступ к ценным токенам | Отклонить подпись |
| Требование ввести seed | Это прямой способ похитить весь кошелёк | Закрыть сайт и ничего не вводить |
Одна из распространённых схем строится на неудачной транзакции. Пользователь видит неизвестный актив, пытается обменять его и получает ошибку. В деталях операции мошенники оставляют адрес сайта, который якобы поможет вывести токен. На таком сайте жертву убеждают раскрыть seed-фразу или подписать опасное разрешение.
Если перевод уже завершился ошибкой, комиссия сети могла быть потрачена, хотя токен остался на месте. Не повторяйте действие с большим gas и не ищите «службу разблокировки». Сначала разберите, что означает статус Failed или Reverted.
Можно ли просто скрыть неизвестный токен
Да, если кошелёк поддерживает скрытие активов. Обычно нужная команда находится в меню токена или списке управления активами. Название пункта зависит от приложения и версии: Hide, Remove from view, Manage tokens или похожий вариант.
Скрытие меняет только интерфейс. Запись о балансе остаётся в блокчейне, а токен может снова отображаться в обозревателе или другом приложении. Удалять запись из блокчейна не требуется. Если владелец не подписывал операций с этим контрактом, простое получение токена само по себе не создаёт разрешение на расходование других активов.
Не путайте скрытие с отзывом ранее выданных разрешений. Если вы уже подключались к подозрительному сайту и подтверждали approve, необходимо отдельно проверить allowances. Скрытая строка в кошельке не отменяет полномочия смарт-контракта.
Чего нельзя делать с подозрительным активом
- Не отправляйте токен самому себе ради «обновления баланса».
- Не переводите его на нулевой адрес и не пытайтесь сжечь.
- Не запускайте swap только ради проверки цены.
- Не увеличивайте комиссию после первой неудачной попытки.
- Не открывайте сайт из названия токена или сообщения в транзакции.
- Не подключайте основной кошелёк к незнакомому приложению.
- Не подписывайте approve, permit, setApprovalForAll или непонятное сообщение.
- Никому не отправляйте seed-фразу, приватный ключ и файл резервной копии.
Полезно заранее разделять кошельки по назначению: основной адрес для хранения не должен участвовать в случайных airdrop и экспериментах с новыми приложениями. Другие типичные ошибки собраны в статье про распространённые ошибки владельцев криптокошельков.
Что делать, если вы уже нажали на ссылку
Сайт открыт, но кошелёк не подключён
Закройте страницу и не скачивайте предложенные файлы. Само открытие сайта обычно не даёт ему право распоряжаться активами, но браузер и расширения должны быть обновлены. Не возвращайтесь по той же ссылке для дополнительной проверки.
Кошелёк подключён, но ничего не подписано
Отключите сайт в списке подключений кошелька. Проверьте, не появилось ли незавершённых запросов на подпись. Подключение раскрывает сайту публичный адрес, но без подписи обычно не разрешает перевод средств.
Подписано разрешение или транзакция
Откройте историю операций в обозревателе и определите, что именно было подтверждено. Проверьте разрешения для ценных токенов и отзовите подозрительные через известный инструмент, открытый самостоятельно, а не по ссылке из спам-токена. Для отзыва понадобится комиссия сети.
Если подписанная транзакция уже передала активы, отменить подтверждённую запись нельзя. Зафиксируйте хеш, адрес получателя и контракт. Не платите людям, которые обещают гарантированный возврат.
Раскрыта seed-фраза или приватный ключ
Такой кошелёк нужно считать полностью скомпрометированным. На чистом устройстве создайте новый кошелёк с новой seed-фразой и перенесите оставшиеся ценные активы. Старую seed-фразу больше не используйте. Смена пароля приложения не меняет ключи в блокчейне и не останавливает злоумышленника.
Неизвестный токен и пропавший токен – разные случаи
Иногда пользователь сам покупал актив, но кошелёк перестал показывать его после смены сети или приложения. Тогда задача состоит не в защите от спама, а в проверке правильного адреса, сети и контракта. Если ожидаемый баланс есть в обозревателе, воспользуйтесь инструкцией что делать, когда токен виден в обозревателе, но не в кошельке.
Разница принципиальна: ожидаемый токен сначала подтверждают по официальному контракту и при необходимости добавляют для отображения. Неожиданный токен не импортируют и не пытаются продать, пока его происхождение не доказано.
Короткий чек-лист безопасных действий
- Не взаимодействовать с токеном и не переходить по связанным ссылкам.
- Сверить адрес кошелька, сеть и входящую транзакцию.
- Записать полный адрес контракта.
- Проверить, ожидали ли вы этот airdrop или перевод.
- Сопоставить контракт с официальными данными проекта.
- При отсутствии подтверждения скрыть токен в интерфейсе.
- Если уже была подпись, проверить approvals и историю операций.
- Если раскрыты ключи, перенести активы на новый кошелёк.
Частые вопросы
Неизвестный токен означает, что кошелёк взломан?
Обычно нет. На публичный адрес можно отправить токен без согласия владельца. О взломе говорят неизвестные исходящие операции, раскрытие ключей или подписанные владельцем опасные разрешения, а не одна входящая запись.
Можно ли получить вирус через токен?
Сам баланс токена не устанавливает программу на устройство. Основной риск связан с переходом на фишинговый сайт, загрузкой файла и подписью вредоносной операции.
Нужно ли создавать новый кошелёк из-за спам-токена?
Нет, если вы не раскрывали seed-фразу, не подписывали подозрительные операции и не видите неизвестных исходящих переводов. Токен можно скрыть. Новый кошелёк нужен при компрометации ключей или подтверждённой краже полномочий.
Почему токен показывает большую стоимость?
Кошелёк или агрегатор может сопоставить актив с ошибочной ценой, а контракт может имитировать название известной монеты. Даже отображаемая цена не гарантирует ликвидность и возможность продажи.
Итог: неизвестный токен безопаснее оставить без движения и скрыть, чем проверять его продажей. Сначала изучите публичные данные: сеть, транзакцию и контракт. Не переходите по рекламным ссылкам, не раскрывайте seed-фразу и не подписывайте разрешения ради обещанного вывода. Если взаимодействие уже произошло, действуйте по уровню риска: отключите сайт, проверьте approvals, а при раскрытии ключей перенесите активы на новый кошелёк.
Источник: MetaMask о мошеннических токенах и неудачных транзакциях.
