Как безопасно хранить NFT в некастодиальном кошельке (EVM, Solana и TON)

Чем вы на самом деле владеете, держа NFT

NFT — это строка в смарт-контракте или программе, которая говорит, что токен с определённым ID принадлежит одному адресу. Кошелёк не хранит ни сам токен, ни, как правило, изображение — картинка обычно лежит в IPFS, Arweave или на веб-сервере за metadata URI. Он хранит приватный ключ, контролирующий тот адрес, на который указывает контракт.

Это различие определяет всё: вы не потеряете NFT, удалив файл, и никакая резервная копия изображения не вернёт владение. Это руководство посвящено двум сценариям потери — краже ключа и подписи, которая передаёт право перевода другому лицу, — хотя утраченная сид-фраза или перевод не на тот адрес заканчивают владение столь же окончательно.

Чем хранение NFT различается в EVM, Solana и TON

Запись о владении устроена по-разному в разных сетях, и это важно, когда вы проверяете, чем владеете. В EVM контракт ERC-721 сопоставляет каждому token ID адрес владельца, а поверх есть два уровня разрешений: одобрение на отдельный токен и общий флаг approve-for-all, который отдаёт одному оператору все ваши токены в этом контракте, включая те, что вы получите позже. ERC-1155 вместо этого сопоставляет паре «token ID и аккаунт» баланс, поэтому approve-for-all на всю коллекцию — его единственный вид разрешения.

В Solana NFT обычно представляет собой токен с эмиссией в одну единицу, который лежит на токен-аккаунте, принадлежащем вашему кошельку; разрешением здесь выступает делегат на этом аккаунте. По состоянию на 2026 год это лишь часть картины: сжатые (compressed) NFT существуют как листья в дереве Меркла, а ассеты Metaplex Core — как отдельные аккаунты, поэтому ни те, ни другие таким образом не делегируются. В TON каждый NFT — это собственный небольшой контракт с полем владельца, подчинённый контракту коллекции. Единой кнопки, которая отзывает всё сразу в трёх сетях, не существует.

Шаг 1: заведите отдельный кошелёк для дорогих NFT

Самое дешёвое усиление безопасности для коллекционера — разделение адресов: один адрес минтит, делает ставки и подключается к новым сайтам, а второй только получает готовые работы. Сделайте его по-настоящему отдельным кошельком с собственной сид-фразой на собственном устройстве, в идеале аппаратным или офлайн-подписантом, — а не вторым аккаунтом, выведенным из сид-фразы, которой вы уже пользуетесь. Аккаунты из одной сид-фразы — это лишь ярлыки поверх одного и того же секрета, и они падают вместе в тот момент, когда эта сид-фраза или устройство скомпрометированы.

Такой адрес-хранилище никогда не должен подключаться к маркетплейсу, подписывать листинг или выдавать разрешение оператору. Защищает именно эта дисциплина, а не сам адрес: риск начинается с подписи, потому что подключение само по себе ничего не выдаёт on-chain. В сетях EVM, по состоянию на 2026 год, авторизация EIP-7702, подписанная ключом хранилища, может направить этот аккаунт на код, который перемещает активы без каких-либо предварительных одобрений, — поэтому, если адрес никогда ничего не подписывает, вредоносному запросу на подпись не над чем работать.

Шаг 2: защитите сид-фразу и устройство

Сид-фраза восстанавливает все производные от неё ключи, поэтому всё, что способно её прочитать, владеет вашей коллекцией. Запишите её на бумаге или металле, храните офлайн и никогда не фотографируйте, не вставляйте в браузер и не сохраняйте в облачных заметках. Легитимные кошельки просят её только при восстановлении кошелька — никогда для того, чтобы что-то «проверить», «синхронизировать» или «получить».

Устройство важно не меньше: вредонос, записывающий экран, или расширение с избыточными правами способны опустошить кошелёк, чья сид-фраза вообще никогда не записывалась. Подменщик буфера обмена — это другой риск: он подставляет адрес получателя прямо во время перевода, а не раскрывает ключ. Держите систему обновлённой, ставьте расширения крайне избирательно и держите устройство-хранилище подальше от машины, на которой вы открываете ссылки на минты; наше руководство по лучшим практикам безопасности криптокошелька применимо к NFT без изменений.

Шаг 3: проверяйте разрешения, делегатов и листинги на маркетплейсах

Многие потери NFT, о которых сообщают как о взломах, оказываются авторизованными переводами: разрешение выдано месяцы назад, ключ или контракт позже скомпрометированы, а выданное право всё ещё действует. Одобрения не истекают сами по себе.

Проверяйте их регулярно. В EVM отзывайте разрешения approve-for-all, которыми вы больше не пользуетесь; механика описана в нашем разборе как отозвать одобрения токенов. В Solana снимайте устаревших делегатов с токен-аккаунтов ваших NFT, а затем отдельно проверяйте сжатые NFT и ассеты Core, поскольку там они не отображаются. В TON убедитесь, что каждый контракт предмета по-прежнему указывает ваш адрес как владельца, — хотя по состоянию на 2026 год выставленный на продажу предмет вполне законно показывает вместо него контракт продажи маркетплейса.

Затем отменяйте старые листинги: по состоянию на 2026 год большинство листингов в EVM — это офчейн-ордера со сроком действия, и забытый ордер остаётся исполнимым по подписанной вами цене, пока он не истечёт, пока вы его не отмените или пока вы не отзовёте одобрение, на котором он держится. Бессрочные и он-чейн ордера не истекают никогда.

Шаг 4: читайте каждую подпись, прежде чем её одобрить

Последний рубеж обороны — экран подписи, где два запроса заслуживают безусловной остановки: одобрение оператора на коллекцию, которую вы не собирались выставлять на продажу, ведь странице «бесплатного минта» незачем просить права над вашими уже имеющимися NFT; и подпись офчейн-ордера для безгазового листинга, которая может отдать работу по цене, которую вы так и не прочитали.

Если кошелёк показывает нечитаемый hex вместо понятного человеку описания, считайте это поводом для отказа. Наш разбор о том, что такое слепая подпись, объясняет, почему непрозрачные payload'ы регулярно фигурируют в крупных кражах.

Типичные способы потерять NFT (и как избежать каждого)

Фальшивые сайты минтов запрашивают approve-for-all, и одного подписанного вами одобрения достаточно, чтобы злоумышленник затем вывел всю коллекцию. Расшифрованный экран подписи это предотвращает, а хранение дорогих работ на отдельном адресе ограничивает потерю тем адресом, который подписывал.

NFT неизвестного происхождения, присланные аирдропом, заманивают владельцев на сайт клейма: получить такой токен безвредно, подписать за него — нет.

Депозитный адрес биржи, который не поддерживает NFT, может навсегда заблокировать токен, поэтому сначала проверяйте адрес назначения.

Один токен для комиссий в EVM, Solana и TON вместе с WATS

Коллекционеры редко остаются в одной сети, а платить комиссии в трёх означает постоянно пополнять три нативных баланса. WATS Hot Wallet заменяет это одним. Любое действие — переводы, свопы, стейкинг — оплачивается одним токеном, ATS, вместо нативного газа сети: в EVM через paymaster ERC-4337, в Solana и TON через эквивалентного плательщика комиссии. Меняется то, в каком токене номинирована комиссия, а не то, сколько берёт сама сеть.

Поскольку ATS — это OFT на LayerZero, один баланс работает во всех трёх сетях, а собранный ATS сжигается со 100 000 000 в направлении нижней границы в 30 000 000. Кошелёк остаётся некастодиальным: ключи держите вы, а WATS не хранит ключ. WATS — первый и единственный кошелёк, который объединяет ERC-4337 и OFT-комиссии в одном токене, взимаемые вместо нативного газа, с таким сжиганием.