Как проверить подлинность скачанного криптокошелька

Начните до установки

Название и значок кошелька можно скопировать. Найдите официальный домен разработчика по независимым известным источникам и откройте его напрямую. Из официального сайта переходите к нужному магазину или разделу загрузки. Не используйте рекламную ссылку, вложение «обновление» из чата и предложение скачать сборку для исправления баланса. Проверка должна предшествовать вводу любых секретов.

Сопоставьте приложение и платформу

Проверьте издателя, поддерживаемую операционную систему, название файла и версию. Смотрите, что разработчик действительно выпускает приложение для этой платформы. Возраст страницы и отзывы могут быть дополнительными признаками, но не доказательством. Для примера Electrum официальный сайт предупреждает загружать программу только с electrum.org и предлагает проверять подписи. Похожий домен не становится официальным из-за знакомого названия.

Различайте сумму и подпись

• Контрольная сумма помогает обнаружить изменение файла относительно эталона.
• Если файл и эталон взяты с одной поддельной страницы, их совпадение не доказывает происхождение.
• Криптографическая подпись связывает файл с определённым ключом подписи.
• Ключ и его отпечаток тоже требуют проверки через надёжный маршрут.
• Проверяйте новую загрузку заново, даже если прежняя версия была подлинной.

Используйте актуальную инструкцию самого проекта. Надпись «подпись корректна» полезна только при понимании, чей ключ использован и почему вы ему доверяете.

Пример подозрительного обновления

Пользователь скачал кошелёк с сайта, который нашёл через объявление. Там же размещён совпадающий хеш. Это подтверждает лишь согласованность двух элементов этой страницы. Он не запускает файл и начинает проверку источника с официального проекта. Если не умеет безопасно проверить подпись, останавливается и изучает документацию вместо запуска команды из комментария незнакомца. Для проверки файла seed-фраза не нужна.

Если программа уже запускалась

Отделите запуск файла от ввода в него секретов. Запишите источник, имя файла, время установки и то, какие данные вводились, не воспроизводя сами секреты в отчёте. Подозрительное устройство не подходит для дальнейших важных операций до проверки. Если в неизвестную программу введена seed-фраза, удаление приложения не возвращает её секретность. При отсутствии раскрытия всё равно оцените безопасность системы и проверьте другие способы доступа, использованные на этом устройстве.

Как распознать фишинговый криптосайт до подключения кошелька

Seed-фраза попала к мошенникам: как ограничить дальнейший ущерб