🛡️ Уровень 2 — «Безопасная работа»

Учебные атаки и защита на testnet · узнавать ловушки, отклонять, отзывать доступы

Уровень 1 учил пользоваться кошельком: адрес, сеть, газ, перевод, approve. Уровень 2 учит не потерять средства: как выглядят типовые атаки (drainer'ы), по каким красным флагам их узнавать и как закрывать выданные разрешения.

Пройди по порядку: сначала три ловушки (увидишь атаку и сработавший детектор кошелька), затем защиту (сам отзовёшь опасное разрешение), и в конце — итог с чеклистом.

⚙️ Где что крутится. Ловушки — демо-стенд: вживую они идут на одноразовой локальной тест-цепи (anvil, Docker) у разработчика. На опубликованном сайте бэкенда нет — там ловушки открываются как разбор без прогона. Урок защиты (revoke) идёт на живой Sepolia. Всё на тестовых сетях, реальные средства не задействованы.

Атаки — узнай и отклони

«Введи seed для восстановления» — seed-фишинг ✓ открывал

Самый прямой приём: тебя уговаривают самому ввести seed-фразу — фейк-поддержка, «восстановление», фейк-кошелёк. Правило №1: настоящий кошелёк/сайт никогда не просит seed. Внутри — безопасная учебная форма.

Открыть урок → учебная песочница · без Docker

«Наградной сайт» — approve-drainer ✓ открывал

dApp просит неограниченный approve на твой токен «для награды» — и контракт-дрейнер уводит весь баланс одним transferFrom. Красный флаг — Ф1-детект «НЕОГРАНИЧЕННО».

Открыть ловушку → демо-стенд

«Награда по подписи» — permit-drainer ✓ открывал

permit (EIP-2612) — оффчейн-подпись разрешения, опаснее обычного approve: газ не платишь, а доступ выдаёшь. Детект покажет «Permit — это разрешение», неограниченный value, spender и deadline.

Открыть ловушку → демо-стенд

«Тебе airdrop!» — fake-airdrop ✓ открывал

Незапрошенный «подарок» — наживка. Чтобы «забрать», тебя просят approve на твой настоящий токен, а не на подарок. Правило: не взаимодействовать с незапрошенными токенами, проверять адрес целиком.

Открыть ловушку → демо-стенд

Защита — закрой дыру

Отзыв разрешений (revoke) ✓ открывал

Обратная сторона: сам выдашь unlimited approve на живом testnet и отзовёшь его (allowance ∞ → approve 0). Плюс гигиена: Etherscan «Token Approvals», revoke.cash.

Открыть урок → Sepolia · без Docker

Похожий адрес — address poisoning ✓ открывал

Атакующий «отравляет» историю переводом с адреса-двойника: совпадают начало и конец, середина другая. Скопируешь получателя из истории — деньги уйдут ему. Учимся сверять весь адрес и ловить флаг.

Открыть урок → Sepolia · без Docker

Остановись и проверь ✓ открывал

Шляпа над всеми ловушками: единая привычка сверять перед подписью и отправкой — адрес, сайт, запрос подписи, токен. В конце — интерактив «найди подвох».

Открыть урок → учебная песочница · без Docker

Итог

🎓 Что ты усвоил на Уровне 2

Четыре ситуации — одна привычка: читать окно кошелька. В трёх у тебя выманивают доступ к средствам (approve/permit/airdrop), в четвёртой — подменяют получателя (похожий адрес). Узнавай красный флаг, отклоняй, а уже выданное — отзывай.

Unlimited approve → красный флаг «НЕОГРАНИЧЕННО» в окне кошелька → отклонить; выдал — отозвать (revoke = approve 0).
permit (оффчейн-подпись) → флаг «Permit — это разрешение», неограниченные value / spender / deadline → не подписывать вслепую (газ не платишь, но доступ выдаёшь).
Fake-airdrop → незапрошенный «подарок»-токен — наживка, чтобы ты дал approve → не взаимодействовать с незапрошенными токенами.
Address poisoning (похожий адрес) → флаг «Похожий адрес» в листе: получатель почти как твой контакт → сверять ВЕСЬ адрес, не копировать из истории, держать контакт в адресной книге.

Вывод: approve и подпись — это выданный ключ, а не «кнопка ОК». Давай минимум под операцию, отзывай после, периодически проверяй список выданных разрешений (Etherscan «Token Approvals», revoke.cash — только по проверенной закладке; настоящий инструмент никогда не просит seed-фразу).

← Уровень 1 (8 шагов) · выпускной L1 ·