Короткий ответ: найдите адрес dApp через независимый официальный канал, проверьте домен посимвольно, изучите перенаправления и не подтверждайте непонятные запросы кошелька. Значок замка и HTTPS защищают соединение от некоторых видов перехвата, но не доказывают, что перед вами официальный проект. Фишинговая копия тоже может иметь HTTPS и аккуратно скопированный дизайн.
Подключение кошелька обычно раскрывает приложению публичный адрес и позволяет сайту запросить дополнительные действия. Само подключение не всегда даёт право тратить токены, но оно может стать началом цепочки: подпись сообщения, разрешение на токен, транзакция или вызов контракта. Поэтому безопаснее заранее определить, какой домен должен открыться, и после подключения рассматривать каждый новый запрос отдельно.
Найдите исходный адрес независимо
Не считайте результат поиска или сообщение в социальной сети достаточным подтверждением. Злоумышленники покупают рекламные позиции, отвечают в обсуждениях и рассылают ссылки от имени поддержки. Перейдите на проект через адрес, который вы уже сохранили, официальную документацию или подтверждённый аккаунт, найденный независимо от подозрительного сообщения. Если в нескольких источниках адреса расходятся, прекратите подключение и выясните, какой домен актуален.
Для важного сервиса полезно однажды проверить адрес через несколько независимых официальных каналов, а затем сохранить его в закладках. Уточняйте, нет ли миграции домена, отдельного адреса для приложения или регионального зеркала. Не используйте ссылку из личного сообщения, даже если автор знает название вашего кошелька или контракта. Криптоперевод необратим, а фишинговый сайт может показывать правильную страницу, пока не наступит момент подписи.
Проверка должна учитывать не только первую страницу. Смотрите, куда ведут кнопки приложения и всплывающие окна, не открывается ли короткая ссылка через неожиданный домен и не меняется ли адрес после перенаправления. Если сервис попросил перейти на новый домен, подтвердите изменение через публичное объявление или официальную документацию, найденную вручную. Не вводите seed-фразу на сайте для «синхронизации» или «верификации»: легитимному подключению dApp она не нужна.
Сравните домен посимвольно
Злоумышленники регистрируют похожие адреса с переставленными буквами, лишними дефисами, другим доменом верхнего уровня или символами, которые визуально напоминают латиницу. Сравните каждую часть домена, включая окончание. Учитывайте Punycode: международное имя может отображаться браузером не так, как ожидалось, а символы разных письменностей способны выглядеть одинаково. Если адрес выглядит необычно, скопируйте его в текстовый редактор или посмотрите ASCII-представление через доверенные средства, не вводя туда секреты.
Проверьте, какой именно уровень адреса принадлежит проекту. В строке app.example.com.attacker.site доменом атакующего может быть attacker.site, хотя начало строки содержит знакомое название. Читайте справа налево от доменной зоны к поддоменам, обращая внимание на точку перед основным доменом. Поддомен на официальном домене может быть легитимным, но его наличие само по себе не подтверждает, что приложение или конкретная страница одобрены командой.
Не полагайтесь на логотип, цвета, формулировку кнопки или имя расширения кошелька. Их легко скопировать. Визуальные предупреждения браузера полезны, но отсутствие предупреждения не означает одобрения сайта. Кошельки и браузеры используют разные источники репутации и могут обнаруживать угрозы с задержкой. Откройте собственную документацию кошелька о фишинге и защите сайтов, но не считайте один индикатор заменой внимательной проверке.
Проверьте запрос после подключения
После подключения остановитесь и посмотрите, какие данные запрашивает приложение. Убедитесь, что кошелёк показывает ожидаемую сеть и ваш адрес. Подключение аккаунта, подпись сообщения и отправка транзакции – разные действия. Если цель была просто открыть страницу, запрос на перевод, бесконечное разрешение или неизвестное сообщение не соответствует намерению. Отклоните запрос и найдите объяснение операции в официальной документации.
Перед подписью транзакции сверяйте контракт, токен, сумму, получателя и сеть. Если кошелёк показывает лишь нечитаемые данные, не подтверждайте вызов наугад. Для отдельных сценариев разрешений проверьте адрес spender, лимит и срок Permit2, а при предложении добавить сеть применяйте инструкцию по проверке wallet_addEthereumChain. Разрешение может дать приложению полномочия, отличные от обычного соединения сайта с адресом.
Для подписей вне транзакций также важны домен и содержание. Некоторые стандартизованные форматы явно показывают адрес сайта и назначение сообщения, другие могут быть менее читаемыми. Не подписывайте сообщение только потому, что сайт утверждает, что это бесплатно или необходимо для входа. Подпись может быть использована в другой логике приложения. Сверьте текст с тем действием, которое начали, и откажитесь, если смысл непонятен.
Что делать при сомнении или ошибке
Если домен вызывает подозрение, закройте вкладку и не взаимодействуйте с ней дальше. Если вы только подключили публичный адрес, проверьте историю кошелька и не подписывайте последующие запросы. Если вы дали токену разрешение, изучите его в обозревателе или доверенном инструменте управления approvals и при необходимости отзовите. Отзыв – отдельная транзакция, он требует комиссии и не отменяет уже совершённый перевод; проверяйте сеть и контракт до подтверждения.
Если вы подписали неизвестное сообщение или транзакцию, сохраните URL, время, адреса и хеш операции, не публикуя seed-фразу или приватные ключи. При подозрении на раскрытие секретной фразы считайте кошелёк скомпрометированным и действуйте через официальную инструкцию производителя кошелька. Смена пароля сайта не вернёт средства, если ключ уже раскрыт. Обращайтесь к поддержке по независимо найденному каналу, а не по контакту из подозрительной страницы.
Минимальный рабочий порядок такой: проверить источник ссылки, сравнить полный домен, убедиться, что перенаправление ожидаемо, подключить кошелёк только к известной странице, а каждый запрос оценивать отдельно. Сохранённая закладка уменьшает вероятность ошибки при повторном посещении, но не защищает от компрометации самого сайта или расширения. Регулярно обновляйте браузер и кошелёк и храните секреты вне веб-форм. Эти привычки не устраняют риск полностью, но убирают наиболее частые ловушки фишинговых копий.
