Неизвестный токен или NFT в кошельке: что делать
Неизвестный токен или NFT может появиться в кошельке без вашего согласия. Само поступление обычно не даёт отправителю доступ к активам. Риск возникает, когда владелец переходит по встроенной ссылке, подключает кошелёк к сомнительному сайту, подписывает разрешение или передаёт сид-фразу. Эту границу между получением и взаимодействием отдельно объясняет Ledger Support.
Иногда это обычная рекламная рассылка. Название токена, изображение NFT или описание превращаются в баннер внутри кошелька. Точно так же выглядят мошеннические приманки. Поэтому незнакомый актив лучше считать спамом, пока независимая проверка не подтвердит его происхождение.
Почему в кошельке появился чужой актив
Адрес криптокошелька виден в блокчейне. Любой человек может найти его и отправить токен или NFT без имени, телефона и разрешения владельца.
Обычно за неожиданным поступлением стоит один из четырёх сценариев:
- Ожидаемый airdrop. Airdrop, или бесплатная раздача токенов, связан с активностью проекта, в которой вы участвовали заранее.
- Рекламная рассылка. Название, изображение или описание актива используют как объявление.
- Спам с приманкой. Актив обещает приз, бонус, бесплатный обмен или крупную сумму и подталкивает к действию.
- Подделка под известный токен. Название и значок копируют популярный актив, хотя адрес смарт-контракта другой.
По внешнему виду эти сценарии легко перепутать. Даже знакомый логотип ничего не доказывает: скопировать картинку проще, чем восстановить деньги после опасной подписи.
Где начинается реальный риск
Пока токен просто лежит в кошельке, непосредственный риск обычно невысок. Опасная часть сценария начинается с действия владельца.
Ссылка может быть встроена в изображение NFT, его название или описание. Сайт обещает награду, обмен «подарка» либо подтверждение права на airdrop. После подключения кошелька появляется запрос на подпись. Он может скрывать разрешение на доступ к активам или попытку выманить сид-фразу.
Особого внимания требуют разрешения token approval. Такое разрешение даёт смарт-контракту право распоряжаться конкретным типом токенов в заданном объёме. Unlimited approval, или неограниченное разрешение, может открыть доступ ко всему балансу этого токена и действовать до ручного отзыва. Механика подробно описана в материале MetaMask о token approvals.
Подключение кошелька и подпись запроса имеют разный уровень риска. Подключение обычно раскрывает публичный адрес и баланс. Для перемещения активов потребуется дополнительное разрешение или транзакция. Поэтому после простого подключения достаточно спокойно проверить историю и активные разрешения. После подписи действовать нужно быстрее.
Пять безопасных действий
1. Остановитесь и ничего не подтверждайте
Увидели незнакомый токен? Оставьте его в покое. Попытка срочно продать, обменять, отправить или получить обещанный бонус может запустить опасный сценарий. Таймер, «последний шанс» и огромная сумма на экране нужны, чтобы вы действовали быстрее головы.
2. Проверьте актив независимо
Игнорируйте ссылку, QR-код и адрес сайта внутри токена. Найдите официальный ресурс проекта самостоятельно, затем сверьте адрес смарт-контракта с официальными каналами и блокчейн-обозревателем. Смарт-контракт здесь означает программу в блокчейне, которая управляет токеном. Блокчейн-обозреватель показывает адреса, операции и данные контракта.
Проверьте пять вещей:
- ждали ли вы этот airdrop;
- публиковал ли проект официальное объявление;
- совпадает ли адрес смарт-контракта;
- есть ли предупреждения кошелька или обозревателя;
- подтверждается ли происхождение актива без перехода по ссылке из NFT.
Совпадение названия и логотипа не гарантирует подлинность.
3. Спрячьте актив или отметьте его как спам
Если кошелёк позволяет скрыть токен, пометить NFT как подозрительный или отправить жалобу, используйте эту функцию. Запись останется в блокчейне, зато приманка исчезнет из основного интерфейса. Отправлять такой актив на другой адрес или пытаться «сжечь» его через неизвестный сервис опаснее, чем просто скрыть.
4. Проверьте разрешения после взаимодействия
Если вы уже подписали подозрительный запрос, откройте раздел разрешений в кошельке или официальный инструмент выбранной сети. Найдите незнакомые approvals и отзовите их.
Отзыв разрешения создаёт отдельную блокчейн-транзакцию и требует сетевую комиссию. Он закрывает дальнейший доступ по этому разрешению, но не возвращает уже переведённые средства.
Отключение сайта от кошелька и отзыв approval решают разные задачи. Отключение разрывает связь интерфейса с адресом. Отзыв approval отменяет право смарт-контракта перемещать токены.
5. Перенесите активы, если раскрыли сид-фразу
Сид-фраза или приватный ключ дают полный контроль над кошельком. Если вы ввели их на подозрительном сайте, считайте кошелёк скомпрометированным. Создайте новый кошелёк в чистом браузере, отдельном профиле или на другом устройстве. Затем переведите оставшиеся активы и прекратите использовать старый адрес. Такой порядок действий рекомендует MetaMask для скомпрометированного кошелька.
Быстрая оценка риска
| Ситуация | Уровень риска | Что делать |
|---|---|---|
| Токен или NFT появился, действий не было | Низкий непосредственный риск | Проверить происхождение, скрыть или отметить как спам |
| Вы открыли ссылку или подключили кошелёк, но ничего не подписали | Повышенное внимание | Закрыть сайт, отключить подключение, проверить разрешения и историю операций |
| Вы подписали транзакцию, approval или непонятное сообщение | Высокий риск | Срочно проверить и отозвать разрешения, следить за движением активов, обратиться в официальную поддержку кошелька |
| Вы передали сид-фразу или приватный ключ | Критический риск | Создать новый кошелёк в чистой среде, перенести оставшиеся активы, старый больше не использовать |
Эта шкала помогает отделить неприятную находку от реальной компрометации. Восстановите цепочку своих действий и выберите меру защиты по фактическому риску.
Можно ли доверять рекламному токену
Рекламная подпись объясняет возможную цель рассылки, но ничего не говорит о добросовестности отправителя. Ссылка может вести на поддельный сайт, а сам проект может оказаться вымышленным.
Безопасная проверка выглядит так:
- Не открывайте встроенную ссылку.
- Найдите проект самостоятельно.
- Сверьте адрес контракта и официальное объявление.
- Решите, зачем вам вообще взаимодействовать с активом.
- При сомнениях скройте его и закончите проверку.
Такой токен похож на листовку под дверью. Листовка не означает, что квартиру взломали. Но звонить по указанному номеру и сразу сообщать код от сейфа точно не стоит.
Когда нужна помощь поддержки
Обратитесь в официальную поддержку кошелька или сервиса, если:
- появились исходящие операции, которых вы не совершали;
- баланс начал уменьшаться после подписи;
- вы подтвердили запрос, смысл которого не поняли;
- кошелёк показывает активное разрешение незнакомому контракту;
- сид-фраза, приватный ключ или файл резервной копии попали к третьим лицам.
Открывайте поддержку через официальный сайт, найденный самостоятельно. Человек, который первым написал в личные сообщения и предложил «спасти кошелёк», может оказаться вторым мошенником.
Безопасность начинается ещё до вывода: с официального адреса сервиса, правильной сети и повторной проверки реквизитов. В пошаговой инструкции BitTeam по выводу криптовалюты показано, где выбрать сеть, указать адрес и проверить комиссию перед подтверждением.
Купить криптовалюту за рубли и работать с доступными инструментами можно на Bit.Team. После вывода контроль над сид-фразой, подписями и разрешениями остаётся у владельца кошелька.
Главное
Незнакомый токен или NFT в кошельке чаще похож на спам в почтовом ящике. Само появление актива обычно не требует паники. Оценивать риск нужно по своим действиям: открывали ли вы ссылку, подключали кошелёк, подписывали запрос, выдавали approval или передавали сид-фразу.
Если ничего не нажимали, проверьте происхождение актива и скройте его. После подписи проверьте разрешения. После передачи сид-фразы сразу создайте новый кошелёк и перенесите оставшиеся средства.