Как вывести внутриигровые активы за пределы игры и понять, что видно посторонним

Чтобы вывести внутриигровые активы за пределы игры и понять, что видно посторонним, исходите из простого допущения: адрес публичен целиком. Любой, кто его узнал, читает список ваших предметов, историю операций и выданные разрешения без вашего согласия. Скрыть эти данные нельзя, они и есть содержимое реестра. Управлять можно только одним — тем, кто и как узнаёт ваш адрес.

Что происходит с сегментом сейчас

Игровые проекты сделали адрес частью публичного профиля. Ник, рейтинг, витрина предметов — всё это выводится по адресу, и обратная связь работает не хуже: по витрине в игровом профиле находится адрес, а по адресу разворачивается полная история операций. Удобство для сообщества оказалось удобством и для тех, кто ищет цели.

Читатели пишут об этом иначе, чем о потерях. Жалобы формулируются мягко: «после вывода стали приходить предложения», «в личные сообщения пришёл человек с точным перечнем моих предметов». Беспокойство обоснованное. Причина не в утечке. Данные никто не крал — их опубликовал сам реестр в момент операции, и адресная книга собралась сама.

Отдельно стоит сказать о сроках. Запись не стирается и не устаревает: операция, проведённая сегодня, будет читаться через десять лет вместе с датой, суммой платы и соседними операциями того же адреса. Решения о публичности принимаются один раз и навсегда.

Как вывести внутриигровые активы за пределы игры и понять, что видно посторонним

Разложим по уровням. Левая колонка — то, что сторона узнаёт сразу. Правая — то, что она достраивает выводами.

Правая колонка — не домыслы. Она строится механически, и собирать её умеют любые аналитические сервисы. Человек, который видит на адресе три коллекции одной игры и регулярные операции по вечерам, знает о вас больше, чем вы сообщали сознательно, и ничего незаконного для этого не делал.

Вывод предмета добавляет к этому новое качество. Пока предмет в игре, он виден игре и сообществу игры. После вывода он виден всему реестру, и ваш адрес встаёт в один ряд с коллекцией, по которой кто-то ведёт отдельную аналитику с рассылками и предложениями. Это не аргумент против вывода, это аргумент за выбор адреса.

Как устроена операция технически

Публичность заложена в устройство стандарта, а не добавлена площадками. Запрос о владельце номера принимает только номер — проверки вызывающей стороны в описании функции нет. Запрос о числе предметов принимает только адрес. Оба вызова бесплатны. Следа они не оставляют.

Журнал событий устроен ещё удобнее для наблюдателя. Стандарт требует, чтобы при смене владельца возникало событие с тремя индексированными полями — отправитель, получатель, номер предмета, — а индексация означает, что выборка по адресу делается одним запросом без перебора блоков. Так и собираются истории адресов в обозревателях и аналитических панелях.

Единая форма ссылки на счёт описана отдельно. Спецификация CAIP-10 собирает идентификатор счёта из обозначения сети и адреса, что позволяет любым сервисам ссылаться на один и тот же счёт одинаково, независимо от того, кто и для чего ведёт учёт. Удобство взаимной работы сервисов означает и простоту сопоставления данных между ними.

1. Решите заранее, на какой адрес выводите. Адрес, который уже связан с публичным профилем или публиковался в чатах, к игровым выводам лучше не привлекать.
2. Проверьте, что ещё лежит на выбранном адресе. Посторонний увидит весь состав разом, а не только выведенный предмет.
3. Посмотрите, нет ли на адресе операций, по которым он связывается с вашим именем. Одна старая операция восстанавливает связь надёжнее любых догадок.
4. Выполните вывод и запишите, какой адрес теперь связан с этим игровым аккаунтом. Разделение адресов работает, только если вы его помните.
5. После вывода пересмотрите публичные настройки игрового профиля: витрина предметов и ник часто включены по умолчанию.

Как связываются игровой профиль и адрес

Связь возникает четырьмя путями. Первый — привязка в профиле игры: игра знает соответствие и может показать его в витрине. Второй — вход через подпись сообщения, когда адрес становится вашим логином. Третий — обмен с адресами знакомых, по которому восстанавливается круг. Четвёртый — публикация адреса самим человеком: в чате, в заявке на раздачу, в споре с поддержкой.

Стандарт обнаружения кошельков упоминает и более тонкий слой: в разделе о предотвращении снятия отпечатка кошелька сказано, что расширение способно объявлять о себе не каждой странице, снижая возможность определить его по внедрённому объекту. Это признание того, что сам факт установленного кошелька — уже сведение о пользователе.

Исторический контекст полезен. Стандарт EIP-1102 от 4 мая 2018 года ввёл выдачу адреса по явному запросу именно потому, что прежняя практика позволяла вредоносным сайтам смотреть подробные сведения о счёте без согласия человека. Согласие теперь спрашивают, но дальше адрес живёт своей жизнью.

Издержки: комиссии, роялти, газ

Публичность стоит денег в неочевидном виде. Разделение адресов означает отдельную плату сети на каждом адресе: пополнение, вывод, отзыв разрешений — всё удваивается. Экономия на одном адресе оплачивается связностью данных, экономия на приватности оплачивается платой сети. Выбор делается осознанно. По умолчанию его не бывает. Сколько стоит обслуживание второго адреса у сервисов, видно из разбора того, как разобраться в комиссиях площадки.

Величины платы на дату чтения мы не приводим: они зависят от сети и загрузки, проверяйте в окне подтверждения. Структуру сборов при переносе между своими адресами разбирали отдельно — там показано, как перевести предмет между кошельками и понять структуру комиссий, если вы решите развести игровые и личные адреса.

Риски и мошеннические схемы сегмента

Публичные данные — рабочее сырьё для адресной работы.

Первая схема: обращение по составу. Человеку пишут, называя его предметы точно, и это создаёт ложное доверие — «значит, он из проекта». Состав предметов читается с адреса кем угодно, и знание состава не подтверждает ничего.

Вторая: «восстановление доступа к коллекции». Расчёт на тех, у кого на адресе видны предметы мёртвых проектов. Предлагают помочь с миграцией, просят разрешение оператору. Проверить активность проекта стоит до разговора, а не после. На тех же данных строят и приглашения участвовать в бесплатной раздаче предметов, где адрес просят указать в заявке.

Третья схема опасна для публичных людей: подбор по витрине. Адрес находится по нику в игровом профиле, дальше собирается полная история операций, и к человеку приходят с предложением, построенным на его же данных и потому звучащим осведомлённо. Разделение игрового и личного адреса здесь единственная защита. Тема управления собственным цифровым следом шире игр — её мы разбирали в материале про децентрализованные социальные графы и монетизацию контента.

Итог

Публичность реестра — не недостаток, а условие его работы: именно открытость записей делает владение проверяемым без посредника. Платой за это становится видимость, и платите её вы целиком. Единственный управляемый параметр — связь адреса с вашим именем. Решается он выбором адреса до операции, а не настройками после неё.

Первоисточники доступны. Открытость функций чтения и индексированных событий описана в спецификации ERC-721 на eips.ethereum.org, а история перехода к выдаче адреса по явному согласию — в стандарте EIP-1102 об открытии счёта по запросу.

Частые вопросы