Какие вопросы следует решить в первую очередь при автономной проверке?
Компьютеры и мобильные телефоны могут отображать замененные адреса; экраны аппаратных кошельков предоставляют независимый канал проверки. Это помогает подтвердить адрес получателя, сгенерированный устройством на основе информации о собственном кошельке, но не может автоматически определить, поддерживает ли отправляющая платформа сеть, и не гарантирует оплату. Прежде чем обсуждать проверку экрана, сначала убедитесь в надежности источника, инициализации и процесса резервного копирования кошелька; в противном случае, независимое отображение может быть основано на неправильном кошельке.
Не смотрите только на QR-код
QR-код — это всего лишь носитель информации; его содержимое может быть адресом, запросом на оплату или ссылкой. После сканирования проверьте фактически распознанную сеть, адрес и дополнительные параметры, а затем сравните их по сегментам с текстом на экране устройства. Не проверяйте только первые и последние несколько символов; вредоносные адреса могут намеренно создавать похожие изображения. Если отображение программного обеспечения и устройства не совпадает, прекратите работу и проверьте устройство, соединение и приложение; не выбирайте то, что «выглядит более знакомо».
Проверяйте сеть и активы отдельно
Один и тот же формат адреса может использоваться в нескольких совместимых сетях, но это не означает, что каждый сервис поддерживает одну и ту же сеть. Отправитель и получатель должны независимо проверять активы, идентификаторы цепочки, контракты токенов и необходимость каких-либо примечаний. Основная сеть Bitcoin, тестовые сети и различные совместимые цепочки не могут использоваться взаимозаменяемо. Аппаратные кошельки могут проверять адрес, но это не означает, что платформа автоматически исправит выводы средств из некорректных сетей.
Роль и границы тестирования небольших сумм
Когда путь подтвержден и стоимость приемлема, тестирование небольших сумм может помочь проверить фактическое получение. После получения средств активы и сети должны быть проверены через надежный кошелек и браузер, а не только через push-уведомления. Успешная проверка не гарантирует, что последующие крупные переводы пройдут без задержек, контроля рисков учетной записи или изменений в обслуживании; последующие операции по-прежнему следует проверять по пунктам, и ранее сохраненные адреса не следует считать безопасными на неопределенный срок.
Защита конфиденциальности при отображении информации о получателе
Адрес получателя, как правило, не является закрытым ключом, но его раскрытие может раскрыть связи транзакций и информацию о балансе. Не включайте в руководство фотографии полного интерфейса управления устройством, расширенного открытого ключа или данных восстановления. Если требуется сотрудничество, предоставляйте только поля, необходимые для получения платежей, и указывайте сеть. Любой, кто запрашивает мнемонические фразы, PIN-коды устройств или закрытые ключи под видом проверки адресов, не занимается законной проверкой платежей.
Создайте собственную запись для верификации
Запишите необходимые данные об учетной записи кошелька, методе генерации адреса, времени генерации адреса, сети, активах и канале верификации; сохраните идентификаторы транзакций и подтверждение получения после тестирования, а также отдельно защитите конфиденциальную информацию. Повторно верифицируйте адрес после обновления прошивки устройства или восстановления учетной записи, а не только на основе старых скриншотов. В этой статье описаны методы верификации платежей, но она не гарантирует абсолютную безопасность аппаратных устройств, платформ или сетей.