Чому важливо звіряти адресу гаманця вручну

У криптовалютних перекладах дрібна неуважність коштує дорого. Один невірний символ - і транзакція йде назавжди. Навіть при наявності вбудованих перевірок формату (checksum) відповідальність за кінцеву точку лежить на відправнику. Нижче - чому ручна звірка адреси критична і як зробити її частиною вашої рутини.

1) Чому «просто вставити з буфера» - небезпечно

Кліпборд-стилери. Зловмисник змінює скопійовану адресу на адресу зловмисника. Зовні - все «як завжди», всередині - чужий реквізит.

Підміна QR. Фішингові сайти і підроблені боти підсовують QR з чужою адресою/інвойсом.

Схожі символи (homoglyph). У ENS/доменах і деяких шрифтах символи можуть виглядати однаково.

Address poisoning. Зловмисник надсилає вам «пилинку» з адреси, схожої на ваш/контрагента, щоб ви за звичкою скопіювали його з історії.

Автозаміни/контакти. Месенджери і деякі гаманці пропонують «схожі» адреси або старі автозбережені записи.

Висновок: автоматизація зручна, але не захищає від навмисної підміни. Потрібна людська перевірка.

2) Що саме потрібно звіряти (і як)

1. Перші та останні символи. Перевіряйте мінімум 4-6 перших і останніх символів рядка адреси ('0x... '/' bc1... '/' T... '/і т.п.).

2. Мережа/стандарт токена. Переконайтеся, що мережа у одержувача і в гаманці збігається: ERC-20, TRC-20, BEP-20, Arbitrum, Optimism, Solana, TON и т. д.

3. Тип адреси. EVM ('0x...') vs Tron ('T...') vs BTC (Bech32'bc1...', P2SH'3...', Legacy'1...') - формати розрізняються.

4. Мемо/Tag/Payment ID. Для XRP/XLM/BNB, біржових депозитів - обов'язкове поле. Його відсутність = ризик втрати.

5. Одноразовість інвойсів. Lightning/BOLT11/LNURL - одноразові і живуть хвилини; застарілі інвойси недійсні.

6. Контракт vs EOA (EVM-мережі). Не надсилайте на адресу контракту, якщо це не передбачено; перевіряйте «Contract «/» Externally Owned Account »в оглядачі.

7. ENS/людські імена. Дозволяйте тільки в довірених гаманцях, перевіряйте reverse-запис і домен.

3) Чеклист ручної верифікації перед відправкою

• Адресу взято з закладки/офіційного додатку, а не з чату/пошуку.
• Збігаються перші/останні 4-6 символів адреси з тим, що показує одержувач.
• Вибрана правильна мережа токена і вона підтримується одержувачем.
• Для бірж/монет з доп.параметрами вказаний Memo/Tag.
• При сумніві - тестовий переказ $5- $20 і очікування зарахування.
• На біржі включений вайтліст адрес із затримкою на додавання.
• Пристрій чистий: 2FA (TOTP/U2F), немає зайвих розширень, оновлення з офіційних джерел.

4) Як побудувати «систему безпомилкових перекладів»

Мітки та адресна книга. Зберігайте перевірені адреси як «Контакти» зі зрозумілими іменами («Біржа-виведення USDT-ERC20»).

Апаратне підтвердження. Для значущих сум підтверджуйте адресу на екрані апаратного гаманця - він показує дійсно підписуються дані.

Тільки QR зі свого кабінету. Скануйте код з офіційного додатку/особистого кабінету, не фотографуйте екрани з чатів.

Розділення гаманців. Операційний гарячий для частих платежів, холодний для зберігання - навіть якщо помилитеся, збиток обмежений.

Журнал транзакцій. Фіксуйте дату, мережу, адресу, суму і tx-хеш - допоможе при суперечках і розслідуваннях.

Подвійна перевірка на великі суми. Двоє дивляться - один відправляє. Або «чотири ока «/політика 2-з-3 в мультисигу.

5) Часті тонкі місця

Старі депозитні адреси бірж. Майданчики іноді змінюють пул адрес; генеруйте адресу заново перед відправкою.

Мости і крос-чейн. Використовуйте офіційні бриджі; перевіряйте цільову мережу і контракт токена.

Комісія і RBF. Для L1-мереж включайте RBF, щоб мати шанс прискорити завислий переклад; це не скасування, але зменшує операційні ризики.

Схожі домени/боти. Додавайте сторінки в закладки, а не «гугліть» кожен раз.

Address poisoning. Не копіюйте адреси з історії вхідних - беріть зі своєї адресної книги.

6) Що робити, якщо виник сумнів

1. Стоп. Не відправляйте. Звірте адресу/мережу заново.

2. Тест. Проведіть мікроплатіж і дочекайтеся зарахування.

3. Контакт з одержувачем. Запитайте підтвердження реквізитів по другому каналу (пошта/месенджер з профілю).

4. Перевірка в оглядачі. Для ENS/контрактів - переконайтеся в коректності дозволу імені та типу адреси.

5. Антивірус/скан. При ознаках підміни перевірте систему, змініть паролі, тимчасово працюйте з іншого пристрою.

7) Міні-FAQ

Чи достатньо звіряти тільки останні 4 символи? Краще - перші і останні 4-6. Деякі атаки цілять саме в збіг «хвоста».

Checksum захистить? Вона ловить випадкові помилки, але не захистить від усвідомленої підміни валідною іншою адресою.

Можна відправляти по ENS/Lightning Address без перевірки? Тільки якщо домен/адреса у ваших контактах і вже перевірений тестовим перекладом.

Якщо адреса схожа на мою минулу контрагентську - чи можна довіряти? Ні, ні. Це може бути «poisoning». Використовуйте збережений контакт.

Ручна звірка адреси - не бюрократія, а останній бар'єр між вами і безповоротною помилкою. Відведіть на неї 10-20 секунд: перевірте перші/останні символи, мережу і мемо, використовуйте адресну книгу і тестові переклади. Ці прості кроки знижують ймовірність втрати коштів з «ймовірно» до майже нуля, навіть якщо ви переводите часто і в різних мережах.