Безопасность
Подписал сообщение в криптокошельке: когда это безопасно, а когда нет
Подпись сообщения в криптокошельке часто используется для входа на сайт без пароля: вы доказываете, что контролируете адрес. Но не всякая подпись безопасна. Если текст непонятен, сайт подозрительный или подпись похожа на разрешение действия с активами, нужно остановиться.
Короткий ответ
Подписать сообщение - значит подтвердить действие своим кошельком без обычного перевода. Часто это используется для входа на сайт: "докажи, что этот адрес твой". В нормальном сценарии подпись не списывает деньги. Но вредные сайты могут маскировать опасные действия под обычную подпись, поэтому важно читать, что именно показывает кошелек.
Зачем сайты просят подписать сообщение
В криптосервисах кошелек часто заменяет логин. Сайт генерирует сообщение, кошелек подписывает его, а сайт понимает: человек действительно контролирует этот адрес. Это удобно: не нужно создавать пароль, если сервис работает только с публичным адресом.
Но подпись - это не просто декоративная кнопка. Она подтверждает ваше согласие с текстом или действием. Поэтому нельзя подписывать сообщения на случайных сайтах только потому, что "это не транзакция".
Когда подпись обычно безопасна
- Вы находитесь на проверенном сайте.
- Сообщение похоже на вход в аккаунт или подтверждение владения адресом.
- Кошелек не показывает списание токенов или изменение разрешений.
- Текст понятный: домен, дата, адрес, nonce или фраза входа.
- Сайт не просит seed-фразу, приватный ключ или код 2FA.
Когда подпись должна насторожить
| Признак | Почему опасно | Что делать |
|---|---|---|
| Текст непонятен | Вы не знаете, на что соглашаетесь. | Не подписывать, пока не разобрались. |
| Сайт обещает бонус или airdrop | Часто это приманка для подключения кошелька. | Проверить домен и источник ссылки. |
| Кошелек показывает разрешения или spending cap | Это может быть не просто подпись, а доступ к токенам. | Проверить approve и сумму. |
| Поддержка просит подписать сообщение | Фейковая поддержка часто давит срочностью. | Писать только через официальный канал. |
Подпись, approve и транзакция: в чем разница
Обычная подпись сообщения часто не требует комиссии сети, потому что не записывается в блокчейн как транзакция. Approve - это разрешение смарт-контракту тратить токен. Транзакция - действие в сети, за которое платится комиссия и которое меняет состояние блокчейна.
На практике интерфейсы могут путать. Поэтому смотрите не только на кнопку "Подписать", а на детали в кошельке: что запрашивает сайт, есть ли spending cap, какой токен указан, какая сеть выбрана.
Какие подписи бывают на практике
Не все подписи одинаковые. Простая подпись для входа обычно подтверждает владение адресом. Но есть подписи, которые могут быть связаны с разрешениями, ордерами, покупками, продажами NFT или другими действиями. Пользователь видит кнопку "подписать" и думает, что это всегда безопасно, но смысл зависит от текста и стандарта подписи.
| Тип ситуации | Как выглядит | На что обратить внимание |
|---|---|---|
| Вход на сайт | Сообщение с доменом, адресом и случайным кодом. | Домен должен совпадать с сайтом, где вы находитесь. |
| Подтверждение условий | Текст с правилами действия или сервиса. | Читайте, с чем соглашаетесь. Не подписывайте пустой или непонятный текст. |
| Permit / разрешение через подпись | Подпись может дать право потратить токен без обычного approve-окна. | Особенно внимательно смотрите токен, сумму и spender. |
| Ордер или листинг NFT | Подпись может выставлять актив на продажу или подтверждать условие сделки. | Проверьте цену, коллекцию, срок и площадку. |
Как читать окно подписи в кошельке
- Смотрите домен: подпись должна относиться к сайту, который вы открыли.
- Читайте текст, а не только заголовок кнопки.
- Проверяйте, нет ли слов permit, allowance, approval, order, sell, transfer.
- Если текст выглядит как набор технических данных, не подписывайте без понимания.
- Если сайт торопит таймером или обещает награду только после подписи, проверьте источник ссылки.
Примеры нормальной и опасной подписи
Нормальный пример: вы открыли известный сервис, нажали "Войти через кошелек", кошелек показывает сообщение с доменом сайта, вашим адресом и случайной строкой для входа. В тексте нет разрешения на токены, продажи активов или обязательств по сделке.
Опасный пример: вы открыли ссылку из Telegram на "раздачу", сайт просит подпись, а в тексте есть непонятные параметры, права, spender, permit или условия, которые вы не можете объяснить. В такой ситуации безопаснее отменить действие и не пытаться "проверить, что будет".
Алгоритм перед нажатием "Подписать"
Хорошее правило: подпись можно подтверждать только тогда, когда вы можете своими словами объяснить, зачем она нужна. Если объяснение звучит как "сайт просто просит, наверное так надо", этого недостаточно. Кошелек не всегда переводит технический текст на понятный язык, поэтому ответственность остается на пользователе.
- Проверьте домен сайта. Подпись должна относиться к тому сервису, который вы действительно открыли.
- Посмотрите, что написано в тексте: вход, подтверждение владения адресом, условия сервиса, permit, order или sale.
- Ищите слова, связанные с доступом к активам: approve, allowance, permit, spender, transfer, sell, listing, order.
- Если кошелек показывает токен, сумму, коллекцию NFT или цену, это уже не обычный вход на сайт.
- Если текст пустой, нечитаемый или состоит из набора параметров, не подписывайте без понимания.
- Если сайт давит срочностью, обещает подарок или пишет, что без подписи "средства пропадут", лучше закрыть страницу.
| Что видно в подписи | Как трактовать | Решение |
|---|---|---|
| Домен, адрес, nonce, фраза входа | Похоже на обычную авторизацию. | Можно подписывать, если сайт проверен. |
| Permit, allowance, spender | Может быть разрешение на токены через подпись. | Остановиться и проверить детали. |
| Sell, order, listing, price | Может относиться к продаже актива или ордеру. | Подписывать только если вы реально это делаете. |
| Пустой или непонятный текст | Вы не понимаете, что подтверждаете. | Отменить. |
Когда подпись сообщения вообще не нужна
Не каждый сайт, связанный с криптовалютой, должен просить подпись. Если вы просто читаете инструкцию, проверяете публичный TXID, смотрите адрес в обозревателе блокчейна или изучаете справочную страницу биржи, кошелек подключать и подписывать сообщение не требуется. Просьба подписать что-то в таких ситуациях выглядит лишней.
Особенно осторожно относитесь к страницам, которые называют подпись "проверкой безопасности", "синхронизацией кошелька", "активацией баланса" или "подтверждением владения средствами". В нормальной логике сайт может попросить доказать владение адресом, но он не должен просить подпись для восстановления перевода, разблокировки чужого токена или получения внезапной награды.
- Для чтения статьи подпись не нужна.
- Для проверки TXID подпись не нужна.
- Для просмотра публичного адреса подпись не нужна.
- Для обращения в поддержку seed-фраза и подпись с непонятным текстом не нужны.
- Для входа в Web3-сервис подпись может быть нормальной, если домен и текст понятны.
Что делать, если уже подписали странное сообщение
- Не подписывайте новые действия на этом сайте.
- Отключите сайт в списке подключенных сайтов кошелька.
- Проверьте активные разрешения токенов в сетях, где вы работали.
- Если были approve, отзовите лишние разрешения.
- Если вводили seed-фразу, создайте новый кошелек и переводите средства, если они еще на месте.
Если после подписи средства не ушли, это не значит, что риск всегда нулевой. Некоторые подписи используются позже: например, для ордера, листинга NFT или разрешения, которое другой контракт может применить отдельно. Поэтому после сомнительной подписи полезно проверить не только баланс, но и разрешения токенов, последние операции и список подключенных сайтов.
Частые вопросы
Подпись сообщения может списать USDT?
Обычная подпись сообщения сама по себе не отправляет USDT. Но если под видом подписи сайт подсовывает approve или другое действие, риск появляется. Всегда смотрите детали в кошельке.
Почему подпись иногда без комиссии?
Потому что обычная подпись сообщения не записывается в блокчейн как транзакция. Но отсутствие комиссии не делает действие автоматически безопасным.
Можно ли подписывать сообщение для входа?
Да, если сайт официальный, текст понятный и кошелек не показывает разрешения на токены. Для случайных ссылок из рекламы, чатов и комментариев лучше не подписывать ничего.
Что читать дальше
Связанные темы: что видит сайт после подключения кошелька, что такое approve и как работает фишинг в криптовалюте.
