Как безопасно получить токены раздачи, если доступ есть только с телефона

Безопасно получить токены раздачи, если доступ есть только с телефона, помогает одно решение — разделение кошельков по назначению. Подключать к активности следует отдельный кошелёк с минимальным балансом, а всё, что вы храните долгосрочно, держать на другом кошельке, который не подключается ни к одной странице и ни к одному приложению. Дальше дело в экране подписи: телефон показывает меньше контекста, чем компьютер, и каждый запрос надо прочитать до конца. Участие ничего не гарантирует. Расходы невозвратны.

Что за активность и что даёт участие

Раздача токенов — это распределение части выпуска среди адресов, отобранных по заранее заданным условиям, которые проект объявляет сам и может уточнять по ходу активности без согласования с участниками. Условия задаёт проект: использование продукта до определённой даты, участие в тестовой сети, удержание других активов. Срез состояния называют снимком. Момент снимка объявляют заранее либо раскрывают позже.

Результат участия предсказать нельзя. Критерии публикуются не полностью, порог отбора становится известен уже после расчёта, а часть анонсов вообще не завершается распределением токенов, и узнать об этом заранее не получится. Источником дохода это считать не стоит. Газ вы платите наверняка, токены получаете возможно.

Телефон меняет не правила, а условия проверки. Адресная строка во встроенном браузере кошелька короткая, домен виден частично, расширений для анализа транзакций нет. Проверять приходится вручную. Набор проверок невелик.

Надзорные органы отдельно занимались этой областью. Итоговый доклад IOSCO от 16 ноября 2023 года содержит восемнадцать рекомендаций по шести направлениям, среди которых противодействие мошенничеству и манипулированию, а также розничное распространение продуктов. Документ адресован регуляторам. Перечень рисков в нём совпадает с тем, с чем участник сталкивается на практике.

Как проверить, что это не подделка

1. Найдите официальный аккаунт проекта по ссылке с его сайта, а не через поиск в социальной сети. Копий с похожими именами обычно несколько.
2. Перейдите на страницу активности только по ссылке из этого аккаунта. Ссылки из личных сообщений, комментариев и чатов не используйте ни при каких обстоятельствах.
3. Прочитайте домен по символам. Подмены строятся на похожих знаках и дополнительных словах внутри адреса, и на узком экране телефона такая разница почти не видна, тем более что встроенный браузер кошелька нередко показывает лишь часть строки.
4. Добавьте проверенный адрес в закладки и в дальнейшем открывайте активность из них. Это снимает риск опечатки и перехода по подделке.
5. Сверьте адрес контракта токена с официальным анонсом и посмотрите его в обозревателе: есть ли проверенный исходный код и история операций.
6. Найдите в правилах дату окончания, требования к верификации и географические ограничения. Их отсутствие — повод остановиться.

Пошаговое участие

1. Создайте отдельный кошелёк под активности. Храните в нём только газ и то, что нужно для участия.
2. Переведите на него небольшую сумму нативной монеты нужной сети. Основной кошелёк к активности не подключайте.
3. Откройте страницу активности из закладок и подключите кошелёк. На экране подключения проверьте, что домен совпадает с проверенным.
4. Прочитайте каждый запрос на подпись до конца. Экран должен показывать понятные поля: сеть, адрес получателя, сумму, срок действия.
5. Для разрешений на списание задайте конкретную сумму вместо неограниченной, если кошелёк это позволяет.
6. Выполните условия активности и сохраните хеши транзакций: они пригодятся при разборе спорного начисления.
7. После завершения отзовите выданные разрешения через инструмент проверки разрешений, а затем отключите кошелёк от площадки.

Сколько это стоит по комиссиям и времени

Назвать точные суммы заранее нельзя: плата в сетях меняется в течение суток. Структура расходов при этом постоянна, и планировать надо по числу платных действий, а не по одной цифре.

Риски и что подписывать нельзя

Главный риск на телефоне — слепая подпись. Стандарт EIP-712, принятый в финальном статусе и созданный 12 сентября 2017 года, появился как ответ на эту проблему: до него подписываемые данные выводились пользователю непрозрачной шестнадцатеричной строкой почти без контекста. Стандарт позволяет кошельку показать структурированные поля. Видите вместо полей строку символов? Запрос подписывать нельзя.

Второй риск — разрешение на неограниченную сумму. Интерфейсу оно удобно. Вам опасно: право распоряжаться вашим балансом сохраняется и после того, как активность закончилась, страница закрыта, а о самом проекте вы перестали вспоминать. Отзывать такие разрешения надо явно, отдельной транзакцией. Лучше в тот же день.

Третий риск — подпись, не требующая газа. Отсутствие платы читается как безобидность, хотя подписать таким образом можно и разрешение на списание, и поручение на перевод, которое исполнит кто-то другой и за свой счёт. Запрос без газа заслуживает того же внимания. Правило без исключений. Оценка условий распределения до участия помогает отсеять сомнительные анонсы — методика разобрана в материале о том, как оценить проект по условиям распределения токенов.

Отдельно о том, чего не делать с ключами. Сервисы, предлагающие «ускорить начисление» или «восстановить доступ» по вашей секретной фразе, занимаются одним и тем же. Приложения для телефона не исключение. Устанавливайте кошельки только из официальных магазинов, сверяя издателя по сайту проекта.

Итог

Телефон не мешает участвовать, он сокращает видимый контекст. Компенсируется это разделением кошельков, закладками вместо ссылок и привычкой читать поля запроса перед подписью. Расходы остаются невозвратными. Результат — неопределённым.

• Отдельный кошелёк под активности создан, основной не подключается
• Страница активности открывается из закладок, а не по присланной ссылке
• Домен прочитан по символам и сверен с официальным анонсом
• Дата окончания, требования верификации и гео-ограничения найдены в правилах
• Каждый запрос на подпись показывает понятные поля, а не строку символов
• Разрешения отозваны после участия, расход на отзыв заложен в бюджет

Частые вопросы

Стандарт подписи структурированных данных и причины отказа от нечитаемых запросов описаны в спецификации EIP-712. Проверить и отозвать выданные контрактам разрешения можно независимым инструментом проверки разрешений в обозревателе Etherscan.