горячий кошелек

Горячий кошелёк использует приватный ключ или функцию подписи на устройстве с доступом в Интернет. В статье объясняется разница между горячей и холодной средой ключей, почему в горячем кошельке стоит держать небольшой повседневный остаток и как снизить риски разрешений, фишинга, вредоносного ПО и ошибок пользователя.

Только в образовательных целях; не является инвестиционным советом или инвестиционной рекомендацией. Инвестиции могут привести к убыткам.

Краткий ответ

Hot Wallet — это кошелек, личный ключ или возможность подписи которого находятся на подключенном к Интернету устройстве, включая расширения браузера, мобильные приложения и программное обеспечение для настольных компьютеров. Его преимущество в том, что он может переводить деньги и подключаться к приложениям в любое время, но цена в том, что закрытый ключ, интерфейс и процесс подписи ближе к вредоносному ПО, фишинговым веб-сайтам и удаленным атакам.

«Горячие» и «холодные» — это не типы активов, а ключевые среды. Если мнемоническая фраза была однажды сгенерирована или импортирована на подключенный к Интернету мобильный телефон, даже если телефон позже будет выключен, он не сможет восстановить ту же гарантию изоляции, как если бы он никогда не был подключен к Интернету. Хотя учетные записи биржи доступны онлайн и удобны, закрытые ключи обычно хранятся на бирже. Точнее, они являются кастодиальными аккаунтами и не эквивалентны горячим кошелькам, контролируемым самими пользователями.

Горячие кошельки также небезопасны. Официальное программное обеспечение может использовать зоны безопасности системы, шифрование паролей и изолированные программные среды разрешений; но устройства каждый день контактируют с веб-страницами, QR-кодами, буферами обмена, уведомлениями и сторонними приложениями, поэтому поверхность атаки значительно больше. Подходящая идея — использовать его в качестве портативного кошелька для монет вместо того, чтобы размещать все свои активы на одном и том же часто используемом адресе.

Как это работает

Когда вы создаете кошелек, программное обеспечение генерирует начальное число и получает закрытый ключ и адрес. Когда инициируется перевод, кошелек локально расшифровывает закрытый ключ, подписывает транзакцию и передает ее. При подключении к приложению DeFi веб-сайт может видеть только тот адрес, раскрытие которого разрешено пользователем; только после того, как пользователь подтвердит подпись, веб-сайт сможет получить результат подписи.

«Подключение кошелька» обычно не передает активы напрямую, но последующие подписи могут иметь последствия. Подписи сообщений можно использовать для входа в систему, а также для авторизации заказов или лицензий; подписи транзакций будут вызывать контракты; авторизация токенов позволяет назначенным контрактам передавать токены в пределах квоты. Наличие всплывающего окна кошелька не означает, что запрос безопасен. Пользователи должны понимать доменное имя, цепочку, контракт, сумму и разрешения.

Пароль защищает только зашифрованные файлы на текущем устройстве. Если вредоносная программа захватит контроль над браузером после разблокировки кошелька, она все равно сможет подменять адреса, вызывать подписи или читать буфер обмена. Мнемоническая фраза позволяет полностью восстановить кошелек на другом устройстве. Нет смысла менять локальный пароль после его утечки.

Пример

Предположим, что у пользователя есть долгосрочные активы на сумму 100,000 юаней, а для операций в сети ему требуется лишь 2,000 юаней в неделю. Долгосрочные активы можно хранить автономно или на редко используемом адресе, оставляя в горячем кошельке только 2,000–5,000 юаней и немного средств на газ. Если фишинговое разрешение позволит опустошить горячий кошелёк, его баланс ограничит размер потерь.

Во время одного погашения пользователь посетил фейковый сайт в поисковом объявлении, а доменное имя отличалось всего на одну букву. Страница сначала просит подключиться к кошельку, а затем просит подписать «проверку безопасности». Всплывающее окно на самом деле представляет собой неограниченную лицензию на токены. Если пользователь подпишется, злоумышленник сможет вызвать контракт токена для передачи баланса адреса без мнемонической фразы. Отмена подключения к веб-сайту не приведет к автоматическому отмене авторизации в сети. Вам необходимо вызвать авторизационный контракт в соответствующей сети, чтобы уменьшить сумму до нуля.

Другой сценарий — отравление адреса. Злоумышленник создаёт похожий адрес и отправляет крошечный перевод, чтобы этот адрес появился в истории пользователя. Если затем скопировать ошибочную запись, можно отправить злоумышленнику 5,000 USDC. Не полагайтесь только на первые и последние четыре символа: получите полный адрес из доверенного источника, используйте проверенную адресную книгу и сначала сделайте небольшой тестовый перевод.

Риски

Горячий кошелёк подвержен вредоносному ПО, фишингу, краже сессий, опасным расширениям браузера, избыточным разрешениям смарт-контрактов, подмене буфера обмена и ошибкам пользователя. Ограничивайте баланс и разрешения, разделяйте кошельки по назначению, проверяйте домены и адреса получателей, а также заранее подготовьте процедуры переноса активов и отзыва разрешений. Горячий кошелёк удобен, но не заменяет автономное хранение ключей.

Распространённые заблуждения

Миф 1: Авторизация отменяется при отключении от сайта

Отключение отменяет только внешний сеанс. Авторизация в цепочке все еще существует, и транзакцию отзыва необходимо отправлять отдельно.

Миф 2: У кошелька есть пароль, и не беда, если мнемоническая фраза утекла

Злоумышленник может использовать мнемоническую фразу в другом месте, чтобы восстановить закрытый ключ, полностью минуя локальный пароль.

Миф 3: Подписание сообщений не повлияет на активы

Некоторые сообщения могут представлять собой приказы, разрешения или авторизацию для входа в систему. Необходимо прочитать тип подписи и фактическое содержание.

Миф 4: адрес навсегда безопасен после небольшого тестирования

Последующие копии по-прежнему могут быть заменены троянами, и каждую транзакцию следует проверять перед ее подписанием.

Источники

Обзор технологии блокчейн - NIST (дата обращения: 2026-08-20)
Безопасность Ethereum и предотвращение мошенничества - Ethereum.org (дата обращения: 2026-08-20)
ERC-20: стандарт токенов - Ethereum Improvement Proposals (дата обращения: 2026-08-20)