Неожиданный токен не требует ответной операции
Неизвестный токен или NFT может появиться на публичном адресе без согласия владельца. Само поступление не доказывает ни получение ценного подарка, ни раскрытие ключей. В схеме фишингового airdrop запись служит поводом привлечь пользователя на внешний сайт. Риск возникает, когда предложенное действие даёт посторонним полномочия или секреты. Поэтому первая проверка — что уже произошло и что ещё только предлагается сделать.
Если владелец лишь увидел новую запись, он не обязан обменивать её, отправлять обратно или платить за удаление. Отображаемая оценка не гарантирует возможность продажи по этой цене. Название известного проекта можно скопировать; оно не устанавливает происхождение актива. Публичный адрес позволяет незнакомцу направить токен и видеть часть истории, но не означает, что незнакомец знает фразу восстановления.
Проверяется источник, а не ссылка внутри подарка
Ссылка в названии токена, описании NFT, комментарии или сообщении об ошибке рассматривается как часть непроверенного предложения. Она не становится официальной благодаря тому, что отображается в обозревателе. Информацию об объявленной раздаче ищут независимо в известных официальных каналах проекта. Домен и адрес контракта сверяются отдельно. Поисковая реклама с похожим названием тоже не подтверждает подлинность.
Карточка проверки содержит сеть, контракт подозрительного актива, источник обнаружения и требуемое действие. Публичный контракт — несекретный реквизит; импортировать ради проверки фразу кошелька не нужно. Если проект не подтверждает условия раздачи или сведения противоречат друг другу, оснований взаимодействовать нет. Наличие активного чата и многочисленных одинаковых отзывов не заменяет проверенные условия.
Предупреждение обозревателя или кошелька — причина остановиться. Отсутствие предупреждения не доказывает безопасность: новый токен или сайт может ещё не быть отмечен. Кошельки различаются способами обнаружения и показа активов. Поэтому вывод «приложение показало, значит проверило» неверен. Отдельно проверяется, существует ли вообще доступная продажа, а не только условная цифра стоимости.
Подарок не оправдывает широкие права
Для получения обещанного бонуса могут предложить подключение, подпись, approve либо перевод. Эти запросы анализируются по последствиям, а не по слову «бесплатно». Если требуется доступ к уже имеющимся токенам, понятны актив, сеть, spender и объём. Если запрашивается подпись сообщения, отсутствие gas не доказывает её безвредность. Несекретная авторизация и экономически значимые подписанные полномочия не смешиваются.
Условно на экране показан неизвестный токен с оценкой 5000 рублей, а запрос разрешает контракту расходовать весь остаток другого актива стоимостью 100 тысяч. Предполагаемый подарок не ограничивает риск пятью тысячами. Для оценки важны предоставляемые права, а не рекламная стоимость раздачи. Более того, продажа неизвестного токена по указанной оценке может быть недоступна вообще.
Плата на посторонний адрес «для активации» не объясняется обычным сетевым gas. Сетевой расход связан с конкретным выполнением операции и показываемыми параметрами; перевод человеку является другим действием. Если процедура требует seed-фразу, приватный ключ, удалённое управление устройством или отключение предупреждений, она создаёт дополнительную угрозу. Отказ от такой процедуры не означает потерю подтверждённых денег.
Действия зависят от того, что уже подтверждено
Если сайт только был открыт и ничего не подписано, фиксируются домен и содержание предложения, затем прекращается непроверенное взаимодействие. Если приложение подключено, оцениваются последующие запросы; отключение не отменяет ранее записанное allowance. Если разрешение уже дано, проверяются сеть, токен, spender и его состояние через подходящий официальный инструмент. Отзыв имеет собственные условия и не возвращает уже списанное.
Если раскрыта фраза восстановления, проблема не ограничивается подозрительным токеном. Посторонний может контролировать связанные ключи, поэтому простое скрытие записи или отключение сайта не устраняет риск. Требуется безопасный план работы с компрометированным кошельком и новыми независимыми ключами по официальным инструкциям. Срочное пополнение для газа без оценки ситуации может тоже попасть под перехват; гарантии спасения нет.
Нельзя создавать новую цепочку подписей по инструкции человека, появившегося в личных сообщениях после публикации жалобы. Он может знать публичный баланс и детали транзакции, не будучи поддержкой. Предложение «проверить кошелёк» на неизвестном сайте рассматривается как новая операция. Для объяснения несекретных фактов не требуется передача права распоряжения средствами.
Скрытие записи и возврат средств имеют разные цели
Если приложение позволяет скрыть актив, это меняет отображение, а не историю блокчейна и не разрешения контрактов. Такой способ уменьшает случайные взаимодействия, но не является лечением уже совершённой подписи. Отправка подозрительного токена на адрес «сжигания» не должна использоваться как обязательная очистка: она требует отдельного понимания контракта, платы и последствий.
Для обращения сохраняются дата, домен, контракт, публичный адрес, тип запроса и идентификатор действительно отправленной операции. Рекламная оценка подарка не записывается в финансовый план как доступный доход. Секреты, документы аккаунта и подробности большого баланса не публикуются в открытом чате. Официальный канал выбирается из заранее проверенного источника, а не из ответа под жалобой.
Полезное правило для дальнейшей работы — неизвестная запись не создаёт срочной обязанности действовать. Условия настоящего проекта можно проверить независимо, а пропущенная раздача не требует компенсировать её рискованной подписью. Главная граница проходит между получением публичного объекта и выдачей реальных полномочий. Именно второе действие нуждается в проверяемой цели и понятных параметрах.
