Коротка відповідь

Якщо ви підключили гаманець до фішингового сайту, але не підписали жодної транзакції чи повідомлення, кошти, найімовірніше, в безпеці: саме підключення не дає застосунку (dApp) змоги їх переміщувати. Ризик — у підписі: будь-який дозвіл на токени, будь-яка транзакція, будь-який «permit», будь-який підпис поза блокчейном, де вказано адресу отримувача дозволу. Якщо ви закрили вкладку, нічого не підтвердивши, найпевніше, усе гаразд. Але про всяк випадок краще перевірити й відкликати зайві дозволи.

Що насправді дає «підключення»

Натискаючи «Connect Wallet», ви повідомляєте застосунку дві речі: адресу гаманця й мережу, у якій ви працюєте. І все. Застосунок може бачити публічний баланс та історію адреси (їх і так видно всім) і може попросити вас щось підписати. Підключення не дозволяє проводити транзакції.

Щоб застосунок перемістив ваші кошти, ви маєте або явно підтвердити транзакцію (вона коштує газу й з'являється у вікні гаманця), або підписати повідомлення поза блокчейном (це відбувається тихо: просто вікно із запитом підпису, без жодної комісії).

Ризик підпису

Сучасний фішинг тримається саме на кроці підпису. Фейкова сторінка «claim airdrop» підключається до гаманця, а потім просить підписати щось, що у вікні гаманця виглядає безневинно, а насправді є дозволом Permit2 чи setApprovalForAll на адресу зловмисника. Один підпис — і зловмисник безстроково може виводити цей токен із вашого гаманця.

Що лишається ризиком, якщо ви «лише підключилися»

Теоретично є три шляхи атаки:

Збір адрес для наступного фішингу. Шахрай тепер знає адресу вашого гаманця і може надсилати на неї пилові транзакції, націлювати на вас наступний фішинг чи продати адресу іншим шахраям. Безпосередній ризик невеликий.

Вразливість у розширенні гаманця. Якщо сайт використав невідому вразливість (zero-day) у вашому розширенні. Таке трапляється рідко.

Відкладений запит підпису. Хитріший фішинговий сайт може попросити підпис пізніше: ви підключилися, лишили вкладку відкритою, а за пів години бачите запит. Таке буває рідше, але можливо.

Що зробити для очищення

Навіть якщо ви нічого не підписали:

  1. Одразу закрийте підозрілу вкладку.
  2. Відкрийте revoke.cash і підключіть цей гаманець. Перегляньте дозволи й відкличте всі, яких не впізнаєте.
  3. Протягом 30 днів стежте, чи немає в гаманці неочікуваної активності.
  4. Якщо на гаманці значна сума й вам неспокійно, створіть нову seed-фразу, налаштуйте новий гаманець і перенесіть кошти.

Що почитати далі: revoke.cash, setApprovalForAll.