Как безопасно хранить Ethereum: кошельки, L2 и стейкинг

Хранение Ethereum (ETH) подчиняется тем же базовым правилам, что и любая криптовалюта: кто контролирует приватные ключи, тот контролирует монеты. Но у Ethereum есть собственные ловушки, с которыми держатели биткоина не сталкиваются: один адрес, работающий во многих сетях, токены, которым для комиссий нужен ETH, смарт-контракты, которым можно дать разрешение распоряжаться вашими средствами, и застейканный ETH в нескольких формах. В этом гайде — где держать ETH и как избежать типичных для Ethereum ошибок. Если вы только знакомитесь с сетью, начните с материала что такое Ethereum.

Четыре варианта

Биржа (кастодиальное хранение). Проще всего: вы входите в аккаунт, ключи держит биржа. Подходит для небольших сумм и активной торговли, но вы зависите от платёжеспособности компании и того, не заморозит ли она вывод. Включите двухфакторную аутентификацию через приложение и белый список адресов для вывода.

Программный (горячий) кошелёк. Приложения вроде MetaMask, Rabby или Coinbase Wallet хранят ключи на вашем устройстве. У вас прямой доступ к DeFi, NFT и сетям второго уровня, но ключи живут на устройстве с интернетом, поэтому главные угрозы — вредоносное ПО и поддельные сайты.

Аппаратный (холодный) кошелёк. Небольшое устройство вроде Ledger или Trezor держит ключи офлайн и просит подтвердить каждую транзакцию на собственном экране. Его можно подключить к MetaMask или Rabby для DeFi. Как они работают и как безопасно купить такое устройство, объясняем в материале что такое аппаратный кошелёк.

Мультиподпись на смарт-контракте. В Ethereum контрактный кошелёк вроде Safe может требовать, скажем, две подписи из трёх для перевода. Это убирает единую точку отказа, поэтому им пользуются многие компании и DAO, но настройка и восстановление сложнее.

Риски, характерные для Ethereum

Один адрес — много сетей

Адрес Ethereum (начинается с 0x) работает в основной сети Ethereum и в совместимых сетях — Arbitrum, Base, Optimism, Polygon. Одна сид-фраза контролирует их все, но балансы раздельные: ETH в Base не виден в mainnet. Большинство «потерянных» ETH на самом деле просто лежат в другой сети. Перед выводом с биржи проверьте, через какую сеть она отправит средства и поддерживает ли её ваш кошелёк. Перевод между сетями обычно идёт через мост, а это дополнительный риск.

Чтобы перевести токены, нужен ETH

Каждая транзакция в Ethereum оплачивает комиссию за газ в ETH (или в нативном токене газа некоторых L2). Если у вас есть USDC или другие токены ERC-20, но нет ETH в этой сети, вы не сможете их перевести. Держите небольшой запас ETH на комиссии в каждой сети, которой пользуетесь.

Разрешения на токены (approvals)

Чтобы воспользоваться DEX или кредитным протоколом, вы часто подписываете approval — разрешение смарт-контракту тратить определённый токен из вашего кошелька, иногда без лимита. Если контракт вредоносный или его позже взломают, он может вывести разрешённый токен без новой подписи. Регулярно просматривайте и отзывайте старые разрешения встроенным инструментом кошелька или сервисом проверки разрешений, например на Etherscan, и давайте разрешения на точную сумму.

Подпись сообщений, а не только транзакций

Фишинговые сайты всё чаще просят подписать не обычную транзакцию, а офчейн-сообщение вроде «permit». Такая подпись тоже может разрешить перевод. Если кошелёк показывает непонятное сообщение или устройство просит включить «blind signing», остановитесь. Типичные приманки описаны в гайде как распознать криптомошенников.

Отравление адресов

Мошенники присылают крошечные или нулевые переводы с адресов, похожих на те, которыми вы пользуетесь, рассчитывая, что вы скопируете не тот адрес из истории. Всегда копируйте адрес из сохранённого контакта или первоисточника получателя и проверяйте не только первые и последние символы.

Как хранить застейканный ETH

Стейкинг ETH приносит вознаграждение за участие в защите сети и бывает трёх основных видов:

• Стейкинг на бирже: проще всего, но ETH держит биржа и берёт комиссию.
• Токены ликвидного стейкинга — stETH от Lido или rETH от Rocket Pool: вы получаете токен, отражающий застейканный ETH. Храните его как любой ERC-20, желательно на аппаратном кошельке, и помните о риске смарт-контракта и возможном небольшом отклонении от цены ETH.
• Соло-стейкинг: собственный валидатор требует 32 ETH, надёжного оборудования и тщательного управления ключами. Адрес вывода определяет, куда попадёт ваш ETH, поэтому укажите кошелёк под вашим полным контролем — аппаратный или мультиподпись.

Зачем Ethereum вообще использует стейкинг, объясняем в сравнении proof of work vs proof of stake.

Простая схема, которая подходит большинству

1. Деньги для торговли — на надёжной бирже с сильной 2FA.
2. Горячий кошелёк с небольшой суммой — для DeFi и экспериментов.
3. Сбережения — на аппаратном кошельке, купленном напрямую у производителя, с новой сид-фразой на бумаге или металле, хранящейся офлайн. Перед настройкой прочитайте, что такое сид-фраза.
4. Перед крупным переводом отправьте тестовую сумму и ещё раз проверьте сеть.
5. Раз в квартал просматривайте разрешения на токены и удаляйте ненужные.