Как проверить резервную копию кошелька и убрать лишние доступы

Убрать лишние доступы — значит составить список всего, что способно читать или подписывать операции вашего кошелька, и сократить его до необходимого. Доступы делятся на отзываемые и неотзываемые: разрешения смарт-контрактов и сессии приложений отзываются транзакцией, а раскрытый ключ или копия фразы не отзываются никогда, и единственный выход в этом случае — перенос средств на новую ветку ключей. Процедура у них одна.

Какие доступы накапливаются незаметно

Инвентаризация обычно удивляет самих владельцев. Доступы копятся четырьмя путями: разрешения, выданные смарт-контрактам при обменах; расширенные публичные ключи, отданные наблюдательным сервисам и бухгалтерии; дубликаты фразы, переданные родственникам «на время»; устройства, которые кошелёк настраивали и не стёрли. Каждый путь выглядел разумным в момент возникновения, а вместе они дают картину, в которой владелец перестаёт понимать, кто способен увидеть его баланс. Контроль над этим списком — обязанность самого владельца.

Сюжет повторяется. В обращениях читателей доступ выдавался не злоумышленнику, а знакомому сервису или человеку, после чего утекал уже от них. Отзыв в таких случаях запаздывает на месяцы, потому что сам список доступов нигде не ведётся и вспоминается только после инцидента.

Типы доступа и как отзывается каждый

Две нижние строки и составляют основную ловушку. Отозвать знание нельзя. Владельцы же относятся к возвращённому носителю как к закрытому доступу, хотя фразу могли переписать за минуту, и никакое последующее действие этого не отменяет.

Инвентаризация и отзыв шаг за шагом

1. Выпишите адреса, которыми пользуетесь, и для каждого отметьте сети, где с него подписывались операции, — чистку ведут по сетям отдельно.
2. Соберите список выданных разрешений смарт-контрактам по каждой сети и отсортируйте его по размеру лимита и давности выдачи.
3. Установите в ноль разрешения, которыми не пользовались, начиная с бессрочных и неограниченных по сумме, а не с самых старых по дате.
4. Отключите в кошельке сессии приложений, подключённых ранее: это делается без транзакции и потому не требует комиссии.
5. Отметьте доступы, которые отозвать нельзя: кому отдан расширенный ключ, у кого остались копии фразы, какие устройства не стёрты.
6. Для неотзываемых доступов спланируйте миграцию на новую ветку ключей и сверьте новую резервную копию адресом до переноса средств.

Когда отзыв не помогает и нужна новая копия

Критерий один. Если доступ состоит в знании, а не в записи в сети, отзывать нечего. Фраза, запомненная или сфотографированная, остаётся работоспособной, пока на ветке есть средства, и никакая настройка кошелька этого не меняет. Расширенный публичный ключ ведёт себя похоже, но ограниченнее: он даёт чтение, а не подпись, и потому миграция тут вопрос приватности, а не сохранности.

Порядок миграции иной. Сначала новая ветка создаётся на устройстве, которого не касались посторонние; затем сверяется её резервная копия по первому адресу; и лишь после этого переводятся средства, начиная с небольшой части, чтобы убедиться в работоспособности цепочки. Старую ветку после переноса не используют даже для мелких сумм, иначе смысл миграции теряется.

Типовые ошибки при чистке доступов

• Разрешения отзывают только в той сети, где работали недавно. Лимиты, выданные в другой сети, остаются действующими и забываются.
• Сортировку ведут по дате, а не по размеру лимита. Опаснее не старое разрешение, а неограниченное по сумме.
• Возвращённый носитель с фразой считают закрытым доступом. Переписать 24 слова занимает минуту, и возврат ничего не доказывает.
• Расширенный ключ удаляют из интерфейса сервиса и считают вопрос решённым. Ключ уже скопирован, удаление касается только отображения.
• Миграцию делают на ту же фразу с другим номером счёта. Доступ при этом сохраняется: номер счёта выводится из той же фразы.
• Устройства, на которых кошелёк разворачивали для проверки, остаются настроенными. Каждое такое устройство — отдельная точка доступа.

Что делать, если лишний доступ уже использовали

Скорость важнее точности. Сначала выводите остаток на свежую ветку, потом разбирайтесь в причинах: если списание шло через разрешение смарт-контракту, обнуление лимита остановит повторные списания, но только для того адреса, где лимит выдан. Остальные адреса ветки проверяют отдельно, поскольку разрешения привязаны к адресу, а не к кошельку целиком.

Затем — восстановление контроля. Новая ветка, новая резервная копия, сверка адресом, запись даты. Параллельно стоит сузить круг на будущее: вести письменный список выданных доступов с датами и ревизовать его по расписанию. Такой список и есть главный результат чистки, потому что без него через полгода инвентаризацию придётся начинать заново с чистого листа.

Чек-лист

• Список используемых адресов составлен, по каждому отмечены сети, где подписывались операции.
• Разрешения смарт-контрактам собраны по всем сетям и отсортированы по размеру лимита.
• Неограниченные и неиспользуемые разрешения обнулены транзакцией.
• Сессии ранее подключённых приложений отключены в настройках кошелька.
• Неотзываемые доступы перечислены письменно: расширенные ключи, копии фразы, ненастёртые устройства.
• По неотзываемым доступам запланирована миграция, новая копия сверена адресом до переноса средств.

Частые вопросы

Правила выдачи и обнуления разрешений заданы в тексте стандарта ERC-20 о токенах, а порядок отзыва описан в руководстве проекта Ethereum по отзыву доступа смарт-контрактов.