Как подключить кошелёк к dApp (и остаться в безопасности)

Чтобы подключить кошелёк к dApp, сами доберитесь до официального сайта dApp, нажмите его кнопку подключения и выберите способ: браузерное расширение на десктопе или QR-сессию WalletConnect, отсканированную мобильным кошельком. Само подключение безопасно — оно сообщает лишь ваш публичный адрес и позволяет сайту читать ваши балансы, но никогда не может само переместить токен. Риск начинается в тот момент, когда вы подписываете, поэтому сначала одобряйте подключение в режиме чтения, читайте каждую подпись перед подтверждением, ограничивайте одобрения токенов точными суммами вместо неограниченных и отзывайте старые лимиты после. С WATS один и тот же порядок работает в обоих случаях — расширение WATS для Chrome обеспечивает подключение в один клик и подпись прямо в браузере на десктопе, а мобильное приложение WATS подключается через WalletConnect на телефоне, — и поскольку WATS полностью некастодиален в Ethereum, Arbitrum, Optimism, Base, Polygon, BNB Chain, Solana и TON, ключи и финальное решение подтвердить всегда остаются за вами.

Безопасная последовательность всегда одна и та же: добирайтесь до официального сайта сами, а не через рекламу или ссылку, которую вам кто-то прислал, нажимайте кнопку подключения самого dApp, выбирайте способ подключения, одобряйте только подключение в режиме чтения, а затем внимательно читайте каждую подпись и каждое одобрение токена перед подтверждением. Обычное подключение безвредно и не даёт сайту власти над вашими средствами. Вся игра в том, чтобы понимать разницу между подключением, подписью и одобрением и никогда не давать одобрение, которого вы не понимаете.

В этом руководстве объясняется, что на самом деле делает подключение, два основных способа подключиться, что такое одобрение токена и почему неограниченные одобрения опасны, как дрейнеры кошельков и поддельные сайты dApp обманывают людей, пронумерованный чек-лист безопасного подключения и как отзывать одобрения, которые вам больше не нужны.

Что на самом деле делает подключение к dApp

dApp, или децентрализованное приложение, — это сайт, который общается с блокчейном. Биржи, кредитные рынки, NFT-маркетплейсы и игры — всё это dApp. Чтобы пользоваться одним из них, вы подключаете кошелёк, который является мостом между сайтом и блокчейном. Если идея децентрализованных приложений для вас в новинку, обзор WATS что такое Web3 задаёт контекст, а вводный материал WATS что такое криптокошелёк объясняет сам инструмент, который выполняет подключение.

Самое важное, что нужно понимать, — подключение происходит на трёх очень разных уровнях, и они несут очень разный риск.

1. Подключение в режиме чтения

Когда вы впервые подключаетесь, dApp просто узнаёт публичный адрес вашего кошелька и считывает ваши балансы из блокчейна. Вот и всё. Он не может переместить ни один токен и не может ничего подписать от вашего имени. Подключение в режиме чтения примерно настолько же чувствительно, как сообщить кому-то номер своего счёта: вас могут найти, но не могут снять средства.

2. Подпись сообщения

Многие dApp просят вас подписать сообщение, чтобы доказать, что вы контролируете адрес, — часто это называют «войти с помощью кошелька». Подпись обычного сообщения обычно не стоит газа и не перемещает средства. Но не все подписи безвредны. Некоторые вредоносные сайты просят вас подписать офчейн-сообщение, которое на самом деле является разрешением (permit), отдающим ваши токены. Опасность в том, что это выглядит как безобидный вход, а на деле это авторизация, — вот почему вы должны читать, что говорит подпись. В WATS такой запрос появляется в окне расширения или в приложении до того, как что-либо будет отправлено, и ничего не происходит, пока вы его не подтвердите.

3. Одобрение транзакции или лимита токена

Вот где на кону реальные деньги. Подпись транзакции действительно выполняет что-то в ончейне: обмен, перевод, минт или одобрение токена. Одобрение токена — то, за чем нужно следить пристальнее всего, и оно заслуживает собственного раздела.

Что такое одобрение токена и почему неограниченные одобрения рискованны

В EVM-сетях вроде Ethereum, Arbitrum, Optimism, Base, Polygon и BNB Chain dApp не может тратить ваши токены, пока вы сначала не дадите ему лимит. Когда вы одобряете токен, вы говорите блокчейну: этому конкретному контракту разрешено перемещать вот столько этого токена из моего кошелька. Именно это разрешение позволяет, например, децентрализованной бирже забрать ваш USDC в обмен.

Ловушка — в сумме. Многие dApp по умолчанию запрашивают неограниченное одобрение, чтобы вам пришлось одобрить лишь однажды. Это удобство — оно же и риск: если контракт позже взломают или если он был вредоносным с самого начала, он сможет вывести весь баланс этого токена когда захочет, больше не спрашивая вас. Неограниченное одобрение — это постоянное разрешение, переживающее ту единственную транзакцию, которую, как вам казалось, вы совершали.

• Одобрения сохраняются. Они не истекают, когда вы отключаете кошелёк или закрываете вкладку. Они остаются активными в ончейне, пока вы их не отзовёте.
• Неограниченное значит неограниченное. Опустошённый или скомпрометированный контракт с неограниченным лимитом может забрать всё по этому токену, даже токены, которые вы приобретёте позже.
• Предпочитайте точные суммы. Там, где кошелёк это позволяет, одобряйте только ту сумму, которую собираетесь потратить. Вы будете одобрять немного чаще, но утёкшее одобрение сможет коснуться лишь этой небольшой суммы.

Одобрения — это концепция EVM. В Solana и TON модель разрешений отличается, но один и тот же инстинкт применим везде: читайте, что вы авторизуете, и не давайте всеобъемлющую власть, которая вам не нужна. WATS охватывает оба мира — Ethereum, Arbitrum, Optimism, Base, Polygon и BNB Chain на стороне EVM плюс Solana и TON, — так что один кошелёк переносит одну и ту же привычку на все из них. Эта привычка — основа лучших практик безопасности криптокошелька.

Два основных способа подключиться

Есть два пути, которыми пользуется большинство, и правильный зависит от того, на компьютере вы или на телефоне. WATS поддерживает оба.

Браузерное расширение

На десктопе самый чистый путь — кошелёк, который живёт в вашем браузере. Расширение WATS для Chrome работает в браузерах на Chromium (Chrome 120+, Edge и Brave), обеспечивает подключение к dApp в один клик и подписывает транзакции прямо в браузере. Оно бесплатное и полностью некастодиальное: вы держите собственные ключи, а WATS никогда не держит ключ за вас. Когда dApp показывает запрос на подключение, расширение всплывает, вы выбираете аккаунт и одобряете подключение в режиме чтения. Каждая последующая подпись появляется в том же окне расширения, так что вы можете прочитать её перед подтверждением.

WalletConnect или QR-код

На мобильном — или когда вы хотите использовать десктопный dApp с телефонным кошельком — стандартом является WalletConnect. dApp показывает QR-код, вы сканируете его мобильным кошельком, и зашифрованная сессия связывает их. Мобильное приложение WATS (iOS и Android) подключается к dApp именно так. Если вы предпочитаете вообще ничего не устанавливать, WATS Hot Wallet — это отдельный браузерный кошелёк WATS, который вы просто открываете по адресу web.watswallet.com: та же некастодиальная модель, без расширения и без приложения. Ключевой момент безопасности — сканировать только тот QR-код, который вы сами вызвали на настоящем сайте, и отключать сессию по завершении, а не оставлять её открытой бесконечно.

Способ	Лучше всего для	Как связывает	На что обратить внимание
Браузерное расширение	Использование на десктопе	Внедряется в браузер	Поддельные расширения; устанавливайте только из официальных источников
WalletConnect / QR	Мобильное, или десктопный dApp с телефоном	Зашифрованная QR-сессия	Сканируйте только QR, который вы вызвали на настоящем сайте

Если вам нужен физический шаг подтверждения поверх программного, WATS NFC Metal Card добавляет аутентификацию касанием. Карта не хранит ваши приватные ключи — её прикладывают для аутентификации к ключам, живущим в приложениях WATS, с помощью уникального идентификатора карты, привязанного ровно к одному устройству. Она ближе к физическому ключу безопасности, чем к сейфу холодного хранения: осознанное физическое касание того единственного устройства, к которому привязана карта, добавленное поверх того, что вы читаете на экране.

Дрейнеры кошельков и поддельные сайты dApp

Кошельки, которые опустошают, редко бывают взломаны криптографически. Гораздо чаще владельца обманом заставили подключиться к поддельному сайту и подписать одно плохое одобрение. Стоит прямо сказать, как это работает.

• Поддельные интерфейсы. Мошенники клонируют популярный dApp пиксель в пиксель и покупают поисковую рекламу, чтобы фейк оказался выше настоящего. Сайт выглядит безупречно, но кнопка подключения подведена к контракту-дрейнеру.
• Подписи-дрейнеры. Подключившись, поддельный сайт просит вас подписать то, что выглядит как рутинное действие. На деле подпись — это разрешение на токен (permit) или одобрение перевода, которое отдаёт ваши активы атакующему одним кликом.
• Срочность и приманка. Дрейнеры процветают на давлении: фейковый эирдроп, который скоро закроется, баннер «заберите вашу награду», личное сообщение от «поддержки» со ссылкой. Срочность существует, чтобы вы не прочитали подпись.

Защита — не техническое волшебство. Это замедление, самостоятельный заход на сайты и чтение каждого запроса, который показывает ваш кошелёк. Некастодиальный кошелёк не может «отподписать» транзакцию, которую вы одобрили, — включая WATS, — так что защита должна произойти до того, как вы нажмёте «подтвердить».

Как безопасно подключиться к dApp: пошагово

Следуйте этим шагам по порядку, даже для dApp, которым пользуетесь каждый день. Дисциплина — в этом и суть.

1. Добирайтесь до dApp через источник, которому доверяете. Вводите URL сами, используйте сохранённую закладку или переходите по ссылке из проверенных каналов проекта. Никогда не кликайте по рекламе, непроверенным результатам поиска или ссылкам из личных сообщений. Подтвердите домен символ за символом перед подключением.
2. Нажмите кнопку подключения самого dApp и выберите способ. Используйте кнопку подключения на самой странице, затем выберите путь: расширение WATS для Chrome на десктопе или WalletConnect, отсканировав QR-код мобильным приложением WATS на телефоне. Убедитесь, что запрос на подключение действительно пришёл от вкладки, которую вы открыли.
3. Сначала одобряйте только подключение в режиме чтения. Первоначальный запрос должен лишь сообщить ваш адрес. Он не должен просить тратить токены. Если первое подключение сразу требует одобрения токена или необычной подписи, остановитесь и закройте вкладку.
4. Читайте каждую подпись перед подтверждением. Кошелёк показывает вам, что вы подписываете. Проверьте, обычное это сообщение или транзакция, какого контракта оно касается и какое разрешение даёт. Если запрос — это разрешение (permit) или одобрение, которое вы не инициировали, не подписывайте его.
5. Ограничивайте одобрения токенов тем, что вам нужно. Когда dApp нужен лимит, задавайте точную сумму вместо неограниченной там, где кошелёк это позволяет. Одобрять немного чаще — небольшая плата за то, чтобы ограничить, сколько вообще может коснуться любой отдельный контракт.
6. Отключайтесь и отзывайте, когда закончите. Отключите сессию или расширение по завершении и периодически просматривайте и отзывайте одобрения, которыми больше не пользуетесь. Отключение завершает сессию, но не удаляет одобрения, так что отзыв — это отдельный, важный шаг.

Как отзывать одобрения токенов

Отзыв — шаг уборки, о котором почти все забывают. Поскольку одобрения живут в ончейне, пока вы их не удалите, старый лимит для контракта, которым вы воспользовались однажды годы назад, остаётся живым риском и сегодня. Очистить их несложно.

• Найдите свои одобрения. Используйте надёжный инструмент проверки одобрений или раздел просмотра одобрений токенов в обозревателе блоков. Подключитесь в режиме чтения и посмотрите список контрактов, которые сейчас имеют разрешение тратить каждый из ваших токенов.
• Выявите опасные. Пристальнее всего смотрите на неограниченные лимиты и на любой контракт, который вы не узнаёте или больше не используете. Это те открытые двери, которые вы хотите закрыть.
• Отправьте транзакцию отзыва. Отзыв возвращает лимит к нулю. Это ончейн-транзакция, так что она стоит небольшого газа, и она убирает способность этого контракта перемещать ваши токены, если только вы намеренно не одобрите его снова.
• Сделайте это рутиной. Просматривайте свои одобрения время от времени, и особенно после использования нового или незнакомого dApp. Несколько минут уборки закрывают самый частый путь, которым воспользовался бы будущий эксплойт.

Одно честное замечание: отзыв стоит газа, потому что это реальная транзакция, и если ваши одобрения разбросаны по нескольким сетям, для уборки обычно нужно немного нативного токена каждой сети. WATS использует абстракцию аккаунтов ERC-4337 в EVM-сетях, а LayerZero OFT делает ATS омничейн-токеном, поэтому сетевые комиссии можно оплачивать в ATS вместо того, чтобы держать отдельную нативную монету для каждой сети. Это меняет то, каким токеном вы платите, а не даёт скидку — базовая стоимость сети та же, — но снимает отговорку «у меня нет газа в этой сети», из-за которой устаревшие одобрения живут годами.

Итог

Подключение кошелька к dApp — это повседневный вход в Web3, и само подключение безопасно, потому что оно лишь сообщает ваш публичный адрес. Риск целиком живёт в том, что вы подписываете после, особенно в одобрениях токенов, которые сохраняются в ончейне и могут быть использованы, если вы даёте неограниченную власть контракту, который оказывается вредоносным. Защитите себя, добираясь до dApp через доверенные источники, одобряя сначала только подключение в режиме чтения, читая каждую подпись, ограничивая одобрения точными суммами и отзывая лимиты, которые вам больше не нужны. На практике это значит установить расширение WATS для Chrome для подключения в один клик и подписи прямо в браузере на десктопе, использовать мобильное приложение WATS для сессий WalletConnect на телефоне и открывать браузерный WATS Hot Wallet, когда вы вообще ничего не хотите устанавливать, — всё полностью некастодиальное, так что ключи и финальное решение о подписи никогда не покидают ваших рук.