Jak bezpiecznie testować nowe projekty Web3?
Siema, mam takie pytanie do wyjadaczy tematu. Ostatnio mega wkręciłem się w nowe projekty Web3, farmienie airdropów i sprawdzanie różnych świeżych dAppsów, ale zaczynam mocno schizować o moje depo. Ciągle słyszy się o jakichś drainerach, rug pullach i innych wałkach. Jak bezpiecznie testować nowe projekty Web3, żeby z dnia na dzień nie obudzić się z całkowicie wyzerowanym portfelem?
Jasne, wiem że totalna podstawa to używanie burner walleta (czyli takiego pustego konta zrobionego tylko pod śmieciowe transakcje), ale czy to w obecnych realiach wystarczy? Czasem żeby przetestować projekt Web3 trzeba wbić na mainnet i wchodzić w interakcję z jakimiś totalnie randomowymi smart kontraktami. Macie jakieś sprawdzone narzędzia do analizy uprawnień, które dajemy tym apkom? Albo jakieś fajne wtyczki przeglądarkowe, które zablokują złośliwe sygnatury zanim jeszcze bezmyślnie kliknę potwierdzenie w Metamasku?
Chodzi mi też o same testnety. Czy klikanie po sieciach testowych jest wogóle na 100% bezpieczne? Przecież front-end tych stron czasem prosi o dziwne dostępy.
Zastanawiam się, jak wy to ogarniacie od kuchni. Lecicie na osobnych profilach w przeglądarce, czy stawiacie jakieś maszyny wirtualne, żeby odciąć syf od głównego kompa?
Będę wdzięczny za każdy konkretny tip dotyczący bezpieczeństwa krypto i apek web3. Jakie strony polecacie do revokowania tokenów i czyszczenia uprawnień? Podrzućcie swoje sprawdzone patenty, bo FOMO ciśnie żeby sprawdzać nowości na rynku, a strach przed utratą środków jednak trochę paraliżuje przed klikaniem w ciemno. Z góry dzięki za pomoc!
Zarabiaj na wzrostach i spadkach ⚡
Kontrakty z dźwignią, niskie prowizje i do 20 € za depozyt.
2 Odpowiedź
Siema! Dobrze, że masz te schizy, bo w krypto paranoja to po prostu zdrowy rozsądek. Używanie burnera to absolutna podstawa, ale tak jak piszesz, samo to dziś nie wystarczy. Jeśli zastanawiasz się, jak bezpiecznie testować nowe projekty na blockchainie i nie wtopić całego depo, musisz dorzucić do swojego warsztatu parę warstw ochrony. Zwykły pusty portfel cię nie ocali, jak podepniesz go pod jakiś zaawansowany skrypt wyciągający resztki ETH na gas.
Po pierwsze wtyczki, bo to twoja pierwsza linia obrony przed klikaniem w ciemno. Zainstaluj sobie Pocket Universe albo Wallet Guard. To absolutne must-have. Te toolsy wskakują między dAppsa a twojego Metamaska. Odpalają symulację transakcji w tle i pokazują ci łopatologicznie: wyślesz X, dostaniesz Y. Jak jakiś kontrakt to ordynarny drainer i próbuje ci podwędzić całe saldo przez jeden złośliwy approve, wtyczka wywali wielki czerwony alert. To mega pomaga w weryfikacji smart kontraktów w locie.
Co do testnetów – obracanie tokenami z kranów jest spoko i bezpośrednio cię nie wyzeruje. Ale tu jest mały haczyk. Frontend takiej testowej stronki bywa czasem przejęty przez hakerów. Mogą ci podrzucić lewą sygnaturę do podpisu, która pod maską i tak uderza w twój mainnet, licząc na to, że odruchowo klikniesz sign. Zawsze zwalniaj na sekundę i sprawdzaj w oknie portfela, o jaką sieć w ogóle krzyczy aplikacja.
Pytasz o OpSec i odcinanie syfu od kompa. Wirtualne maszyny to opcja dla totalnych hardkorów, moim zdaniem przerost formy nad treścią przy zwykłym airdrop farmingu. Ja lecę na osobnych profilach w przeglądrce. Robisz sobie dedykowany profil Chrome lub Brave nazwany Degen, tam trzymasz tylko śmieciowe portfele i latasz po najgorszych dziurach Web3. Na głównym profilu masz tylko czysty portfel sprzętowy do hodlowania kapitału. Nie mieszaj tych dwóch światów, a będziesz spać spokojnie.
A jak już sprawdzanie dAppsów bez ryzyka masz za sobą i chcesz posprzątać po całym tym farmieniu, to polecam klasyka: Revoke.cash. Ochrona portfela to też higiena po testach. Wpinasz tam swojego burnera i revokujesz wszystkie uprawnienia do wydawania tokenów (token approvals), o których już dawno zapomniałeś. Rób to w miarę często, bo nawet legitne protokoły potrafią po roku zostać zhakowane.
Trzymaj na burnerach tylko tyle drobnych, ile realnie potrzebujesz na gas fee. Jak wpadnie grubszy airdrop, od razu ślij zyski na cold wallet. Udanych łowów i oby omijały cię wszelkie rug pulle!
Zarabiaj na wzrostach i spadkach ⚡
Kontrakty z dźwignią, niskie prowizje i do 20 € za depozyt.
Poprzednik fajnie wyczerpał temat wtyczek i portfeli, ale ja dorzucę coś z zupełnie innej beczki, bo technologia to jedno, a socjotechnika to drugie. Najwięcej kasy w krypto nie traci się na dziurawych kontraktach, tylko na pośpiechu i braku weryfikacji źródła.
Przede wszystkim uważaj na sygnatury off-chain (np. Permit2). To jest teraz totalna zmora przy farmieniu airdropów i testowaniu nowości. Wygląda to tak: wbijasz na stronę, chcesz połączyć portfel, a apka prosi o podpisanie wiadomości tekstowej. Nie ma tam żadnej opłaty za gas, wygląda to jak zwykła autoryzjaca, żeby po prostu zalogować się do dAppsa. Zadowolony klikasz „Sign”, a pod maską podpisujesz zgodę na drenaż twoich tokenów ERC-20. Żadne revokowanie potem nie pomoże, bo hajs znika w ułamku sekundy. Nawet jeśli portfel jest pusty, sam fakt podpisania złośliwej sygnatury może być groźny na przyszłość.
Druga sprawa to badanie terenu na własną rękę. Zanim w ogóle podepnę mój portfel do jakiejś świeżej platformy Web3, sprawdzam jej flaki. Kopiuję adres smart kontraktu i wrzucam w De.Fi Scanner albo Token Sniffer. To takie darmowe automaty do audytów. Od razu wywalają na ekran, czy w kodzie nie ma ukrytych opłat transakcyjnych na rzecz twórcy, blokady sprzedaży (honeypot) albo chamskich furtek dla devów. Minuta roboty, a potrafi uratować depo.
Co do odcinania syfu – profile w przeglądarce to minimum, ale ja poszedłem trochę inną drogą. Zamiast stawiać maszyny wirtualne, co potrafi zamulić kompa, kupiłem poleasingowego rupiecia za jakieś trzy stówki. Taki fizyczny burner laptop. Nie ma tam moich prywatnych maili, haseł do giełd czy podpiętego głównego cold walleta. Służy mi on tylko do orania najgorszych dziur w świecie airdropów. Jak wejdę na lewą stronę i pobierze mi się w tle jakiś syf, to formatuję dysk i jazda od nowa.
I najważniejszy tip dotyczący bezpieczeństwa krypto jeśli chodzi o nawigację. Nigdy nie wchodź w linki na Twitterze. Farmy botów klonują tam profile projektów z prędkością światła. Mają kupione znaczki weryfikacji i wrzucają fałszywe panele do claimowania tokenów zaraz pod oficjalnymi postami. Zawsze wchodź na oficjalnego Discorda projektu i szukaj kanału official-links. Dopiero stamtąd przechodź do testnetów.
Nie ufaj niczemu w ciemno, a na pewno utrzymasz się na tym rynku dłużej niż większość. Powodzenia w klikaniu!
Zarabiaj na wzrostach i spadkach ⚡
Kontrakty z dźwignią, niskie prowizje i do 20 € za depozyt.
