Як безпечно зберігати Ethereum: гаманці, L2 і стейкінг

Зберігання Ethereum (ETH) підкоряється тим самим базовим правилам, що й будь-яка криптовалюта: хто контролює приватні ключі, той контролює монети. Але в Ethereum є власні пастки, з якими власники біткоїна не стикаються: одна адреса, що працює в багатьох мережах, токени, яким для комісій потрібен ETH, смарт-контракти, яким можна дати дозвіл розпоряджатися вашими коштами, і застейканий ETH у кількох формах. У цьому гайді — де тримати ETH і як уникнути типових для Ethereum помилок. Якщо ви тільки знайомитеся з мережею, почніть із матеріалу що таке Ethereum.

Чотири варіанти

Біржа (кастодіальне зберігання). Найпростіше: ви входите в акаунт, ключі тримає біржа. Підходить для невеликих сум і активної торгівлі, але ви залежите від платоспроможності компанії та того, чи не заморозить вона виведення. Увімкніть двофакторну автентифікацію через застосунок і білий список адрес для виведення.

Програмний (гарячий) гаманець. Застосунки на кшталт MetaMask, Rabby чи Coinbase Wallet зберігають ключі на вашому пристрої. Ви маєте прямий доступ до DeFi, NFT і мереж другого рівня, але ключі живуть на пристрої з інтернетом, тож головні загрози — шкідливе ПЗ і фейкові сайти.

Апаратний (холодний) гаманець. Невеликий пристрій на кшталт Ledger чи Trezor тримає ключі офлайн і просить підтвердити кожну транзакцію на власному екрані. Його можна під'єднати до MetaMask чи Rabby для DeFi. Як вони працюють і як безпечно купити такий пристрій, пояснюємо в матеріалі що таке апаратний гаманець.

Мультипідпис на смарт-контракті. В Ethereum контрактний гаманець на кшталт Safe може вимагати, скажімо, два підписи з трьох для переказу. Це прибирає єдину точку відмови, тому ним користуються багато компаній і DAO, але налаштування та відновлення складніші.

Ризики, характерні для Ethereum

Одна адреса — багато мереж

Адреса Ethereum (починається з 0x) працює в основній мережі Ethereum і в сумісних мережах — Arbitrum, Base, Optimism, Polygon. Одна сід-фраза контролює їх усі, але баланси окремі: ETH у Base не видно в mainnet. Більшість «загублених» ETH насправді просто лежать в іншій мережі. Перед виведенням із біржі перевірте, через яку мережу вона відправить кошти й чи підтримує її ваш гаманець. Переказ між мережами зазвичай іде через міст, а це додатковий ризик.

Щоб переказати токени, потрібен ETH

Кожна транзакція в Ethereum сплачує комісію за газ в ETH (або в нативному токені газу деяких L2). Якщо у вас є USDC чи інші токени ERC-20, але немає ETH у цій мережі, ви не зможете їх переказати. Тримайте невеликий запас ETH для комісій у кожній мережі, якою користуєтеся.

Дозволи на токени (approvals)

Щоб скористатися DEX або кредитним протоколом, ви часто підписуєте approval — дозвіл смарт-контракту витрачати певний токен із вашого гаманця, іноді без ліміту. Якщо контракт шкідливий або його згодом зламають, він може вивести дозволений токен без жодного нового підпису. Регулярно переглядайте й відкликайте старі дозволи вбудованим інструментом гаманця або сервісом перевірки дозволів, наприклад на Etherscan, і давайте дозволи на точну суму.

Підпис повідомлень, а не лише транзакцій

Фішингові сайти дедалі частіше просять підписати не звичайну транзакцію, а офчейн-повідомлення на кшталт «permit». Такий підпис теж може дозволити переказ. Якщо гаманець показує незрозуміле повідомлення або пристрій просить увімкнути «blind signing», зупиніться. Типові приманки описано в гайді як розпізнати криптошахраїв.

Отруєння адрес

Шахраї надсилають крихітні або нульові перекази з адрес, схожих на ті, якими ви користуєтеся, розраховуючи, що ви скопіюєте не ту адресу з історії. Завжди копіюйте адресу зі збереженого контакту чи з першоджерела отримувача й перевіряйте не лише перші та останні символи.

Як зберігати застейканий ETH

Стейкінг ETH приносить винагороду за участь у захисті мережі й буває трьох основних видів:

• Стейкінг на біржі: найпростіше, але ETH тримає біржа й бере комісію.
• Токени ліквідного стейкінгу — stETH від Lido чи rETH від Rocket Pool: ви отримуєте токен, що відображає застейканий ETH. Зберігайте його як будь-який ERC-20, бажано на апаратному гаманці, і пам'ятайте про ризик смарт-контракту та можливе невелике відхилення від ціни ETH.
• Соло-стейкінг: власний валідатор потребує 32 ETH, надійного обладнання та ретельного керування ключами. Адреса виведення визначає, куди потрапить ваш ETH, тож вкажіть гаманець під вашим повним контролем — апаратний або мультипідпис.

Чому Ethereum узагалі використовує стейкінг, пояснюємо в порівнянні proof of work vs proof of stake.

Проста схема, що підходить більшості

1. Гроші для торгівлі — на надійній біржі з сильною 2FA.
2. Гарячий гаманець із невеликою сумою — для DeFi та експериментів.
3. Заощадження — на апаратному гаманці, купленому напряму у виробника, з новою сід-фразою на папері чи металі, що зберігається офлайн. Перед налаштуванням прочитайте, що таке сід-фраза.
4. Перед великим переказом надішліть тестову суму й ще раз перевірте мережу.
5. Раз на квартал переглядайте дозволи на токени й прибирайте непотрібні.