Криптооплата без подключения кошелька

Вы нажимаете «Подключить кошелёк», чтобы оплатить покупку. На фишинговой странице вслед за подключением сразу появляется запрос подписи. Страница называет его подтверждением оплаты, но внутри может быть разрешение на списание токенов или делегирование аккаунта. С такими полномочиями потери могут выйти далеко за пределы суммы счёта.

При оплате товаров или услуг выбирайте перевод по реквизитам. Отправляйте средства из собственного кошелька, без подключения к сайту. Вы проверяете получателя, актив, сеть и сумму, затем подписываете конкретную отправку. Для неё сайту не требуется право распоряжаться оставшимся балансом.

Почему Paymos показывает реквизиты и QR?

Paymos сознательно выбрал оплату без подключения кошелька к сайту. Платёжная страница показывает реквизиты счёта и QR, а WalletConnect не поддерживает. Вы отправляете средства из своего кошелька.

На компьютере QR может содержать адрес или платёжную ссылку выбранного кошелька. Если кошелёк поддерживает такую ссылку для выбранной сети, она помогает заполнить актив, сеть и сумму. На мобильном устройстве QR содержит только адрес. Сумму и остальные данные нужно проверить независимо от того, как вы их перенесли.

Кошелёк всё равно подписывает обычный перевод. Разница в объёме подтверждения: вы отправляете конкретную сумму получателю, без отдельного разрешения сайту списывать средства с остатка. Это полезная граница для разовой покупки, хотя она не избавляет от проверки самой страницы и реквизитов.

Что происходит при подключении кошелька?

Подключение обычно открывает сайту выбранные публичные адреса и сети. Сайт получает возможность предлагать дальнейшие запросы, которые вы рассматриваете в кошельке. Само подключение не выдаёт разрешение на списание токенов и не делегирует управление аккаунтом. В MetaMask подключённые аккаунты и сети можно проверить в настройках разрешений. Как MetaMask управляет разрешениями сайтов.

Подключение используют и законные сервисы. При покупке по реквизитам можно обойтись без него и подтвердить только отправку по счёту.

Какие запросы в кошельке нужно различать?

Внешне окна подтверждения могут быть похожи. По смыслу действия различаются:

Разрешение на токены называют approve или allowance. Оно может превышать сумму покупки и оставаться действующим после неё. Такой запас бывает удобен при повторных операциях, но расширяет возможные потери, если получатель разрешения окажется вредоносным. MetaMask о разрешениях на токены.

Проверяйте запрос, даже если он появился сразу после кнопки Connect. Название кнопки не сообщает, какие полномочия содержит следующий запрос. Если вы собирались оплатить счёт переводом, разрешение на списание или делегирование требует отдельного объяснения. Не подтверждайте запрос, смысл которого непонятен.

Чем опасна подпись без комиссии?

Некоторые подписи можно поставить без немедленной оплаты газа. Это ничего не говорит о размере полномочий.

Например, permit по ERC-2612 позволяет подписью выдать разрешение на списание токена, который поддерживает этот стандарт. Другой участник может отправить её в сеть. При проверке смотрите, какому адресу вы разрешаете списание и на какую сумму. Срок в таком сообщении ограничивает время подачи подписи; он сам по себе не означает, что уже выданное разрешение исчезнет в эту дату. Стандарт ERC-2612.

Фишинг использует разрыв между вашим намерением и содержимым запроса. Вы думаете, что подтверждаете покупку или вход, а подписываете право на дальнейшее списание. Надпись на странице не меняет смысл подписанных данных.

Может ли одна подпись затронуть несколько сетей?

У EIP-7702 есть риск с широкими последствиями. Авторизация позволяет аккаунту выполнять выбранный код; опасный код может распоряжаться его средствами. Ethereum отдельно предупреждает о фишинге, при котором пользователь делегирует аккаунт вредоносному контракту. Рекомендации Ethereum по EIP-7702.

Авторизация с chain_id=0 не привязана к одной сети. Её можно применить в нескольких EVM-сетях, которые поддерживают EIP-7702, если совпадают необходимые условия авторизации, включая счётчик операций — nonce, и выполнены условия исполнения. Это конкретный тип подписи с конкретными условиями. Речь о поддерживающих этот механизм EVM-сетях, а не обо всех блокчейнах. Спецификация EIP-7702.

Так одна опасная авторизация может затронуть средства одного аккаунта в нескольких сетях. Масштаб зависит от поддержки механизма и условий в каждой сети. Для разовой оплаты счёта такие полномочия избыточны: вы собирались отправить указанную сумму, а делегирование меняет то, как аккаунт может распоряжаться средствами.

Что проверить перед оплатой?

Откройте счёт из известного вам источника и проверьте адрес сайта. В кошельке сравните реквизиты со счётом: получателя, актив, сеть и сумму. После сканирования QR сделайте ту же проверку — код лишь переносит данные.

Затем прочитайте тип запроса. При оплате по реквизитам вы должны понимать, какую отправку подтверждаете. Если вместо неё кошелёк предлагает разрешение на списание или делегирование, остановитесь и выясните причину.

Предупреждения кошелька помогают заметить угрозу. MetaMask проверяет транзакции и запросы подписи, но прямо указывает: такие проверки не находят все угрозы. Отсутствие предупреждения не заменяет вашу проверку. О предупреждениях MetaMask.