Комиссия Gas и безопасность транзакций: как избежать расхода активов из-за злонамеренных контрактов

marsbitОпубликовано 2026-02-28Обновлено 2026-02-28

Введение

В блокчейне каждая операция требует оплаты комиссии Gas, которая стала мишенью для злоумышленников. Основные риски включают: 1. **Бесконечная авторизация** — предоставление смарт-контракту неограниченного доступа к токенам, что позволяет незаметно украсть активы. 2. **Перехват Gas** — манипуляции с комиссией через вредоносные контракты или поддельные транзакции, приводящие к завышенным расходам. 3. **Фальшивые авторизации/транзакции** — фишинговые сайты, имитирующие легитимные DApp, для кражи средств. **Меры защиты:** - Используйте принцип минимальной авторизации, отзывайте разрешения после операций. - Вручную настраивайте лимиты Gas в кошельках, сверяйтесь с актуальными ставками через Etherscan. - Проверяйте адреса контрактов и подлинность DApp, используйте «холодные» кошельки для крупных сумм. **При утере активов:** Немедленно заморозьте кошелек, отзовите авторизации, сохраните доказательства (TxID, адреса), обратитесь к специалистам. Избегайте мошенников, предлагающих «вернуть средства за плату». Безопасность зависит от осознанного взаимодействия: ограничивайте доверие контрактам, проверяйте детали транзакций и оперативно реагируйте на угрозы.

Предисловие

В мире блокчейна каждая операция в сети не обходится без комиссии Gas. Это "топливо", которое питает работу сети, но оно также стало мишенью для злоумышленников. От бесконечных разрешений, приводящих к "тихому" переводу активов, до перехвата комиссии Gas, заставляющего пользователей платить гораздо больше ожидаемого, — эти ловушки становятся все более скрытными.

В отличие от традиционных фишинговых атак, такие атаки часто маскируются под обычные операции, такие как "авторизация", "мinting NFT", "участие в DeFi-майнинге", и используют неосведомленность пользователей о механизмах смарт-контрактов для незаметного расхода или даже кражи активов. Чтобы помочь всем распознать эти риски, команда безопасности Zero Time Technology, опираясь на отраслевую практику безопасности и серию образовательных материалов по блокчейн-безопасности, фокусируется на комиссии Gas и безопасности транзакций, чтобы разобрать распространенные ловушки, освоить практические методы защиты, а также определить план экстренных действий в случае потери активов.

Часть 01-Распространенные ловушки, связанные с комиссией Gas и безопасностью транзакций

Комиссия Gas, будучи "пропуском" для транзакций в блокчейне, напрямую связана с безопасностью активов пользователей. Злоумышленники используют пробелы в знаниях пользователей о механизме Gas и авторизации контрактов, чтобы создавать различные скрытые ловушки, часто маскирующиеся под обычное взаимодействие с блокчейном, что затрудняет их обнаружение. Основные типы ловузок можно разделить на 3 категории:

1. Бесконечная авторизация (Approve)

Бесконечная авторизация — это когда пользователь при взаимодействии со смарт-контрактом предоставляет контракту разрешение на "неограниченное" использование определенного токена в своем кошельке. Это одна из самых распространенных и опасных ловушек, ведущих к потере активов.

◆Принцип работы: Когда вы нажимаете кнопку "Approve" в dApp, если вы не проверили внимательно лимит авторизации, вы, скорее всего, подписываете соглашение о "бесконечной авторизации". Это означает, что теоретически этот контракт может в любое время перевести все ваши токены этого типа из кошелька без повторного подтверждения с вашей стороны.

◆Типичный сценарий: При минте малоизвестных NFT, участии в неаудированных DeFi-пулах ликвидности, использовании неизвестных DEX для торговли, злонамеренные контракты часто по умолчанию предлагают "бесконечную авторизацию", побуждая пользователей быстро подтвердить действие, а затем незаметно для пользователя переводить активы из кошелька партиями.

2. Перехват комиссии Gas (Gas Fee Hijacking)

Перехват комиссии Gas — это когда злоумышленник с помощью malicious-контракта или путем подмены данных транзакции заставляет пользователя заплатить комиссию Gas, значительно превышающую нормальный уровень, или даже напрямую крадет уплаченную пользователем комиссию Gas. По сути, это получение незаконной выгоды путем манипуляции параметрами, связанными с Gas.

◆Принцип работы:

Подмена на фронтенде: Контролируемый злоумышленником фронтенд dApp автоматически устанавливает цену Gas или лимит Gas на очень высокий уровень при инициации транзакции пользователем, значительно превышающий комиссию даже в периоды обычной перегрузки сети.
Злонамеренный расход в контракте: В malicious-контракт встраивается код с "бесконечным циклом", выполнение которого постоянно消耗 Gas, пока не будет исчерпан установленный пользователем лимит Gas. В итоге транзакция fails, но комиссия Gas уже уплачена валидаторам сети.

◆ Типичный сценарий: Пользователь участвует в минте по вайтлисту для популярного NFT по неофициальной ссылке, после подтверждения с кошелька моментально списывается ETH в десятки раз больше обычной суммы в качестве комиссии Gas, а NFT не поступает.

3. Фальшивая авторизация / Фальшивая транзакция

Злоумышленник путем подделки запроса на авторизацию или всплывающего окна транзакции诱导用户 подписать злонамеренные данные, чтобы напрямую украсть активы или получить контроль над кошельком. Часто сочетается с ловушками комиссии Gas.

◆Принцип работы:

Фишинговая誘惑: Пользователь переходит по "официальной ссылке" из фишингового email, личного сообщения в Discord или рекламы в соцсетях на сайт-клон, очень похожий на настоящий dApp.
Подделка злонамеренного запроса: Во всплывающем окне "авторизации" на клонированном сайте表面显示 "авторизация токена для交易", но фактические данные транзакции были изменены и представляют собой инструкцию по прямому переводу активов пользователя на кошелек злоумышленника.

◆ Типичный сценарий: Пользователь получает личное сообщение "кошелек находится под угрозой, требуется срочная авторизация для проверки", переходит по ссылке и завершает авторизацию, в результате чего не только платит высокую комиссию Gas, но и основные токены из кошелька мгновенно переводятся.

Часть 02-Настройки безопасности кошелька и меры предосторожности

Для противодействия вышеупомянутым ловушкам, связанным с комиссией Gas и безопасностью транзакций, ключевым является "превентивная защита". Пользователям не нужно владеть сложными блокчейн-технологиями, достаточно сосредоточиться на трех основных аспектах: управление авторизациями, настройка Gas и проверка транзакций, выработать хорошие привычки操作, чтобы эффективно избегать рисков. Конкретно можно следовать следующим 3 пунктам:

1. Строго контролируйте лимиты авторизации, придерживайтесь принципа "минимальных привилегий"

Операции авторизации — основная лазейка для утечки активов. Контроль лимитов авторизации означает перекрытие риска в源头. Ключевое — "не авторизовывать лишнее, отзывать после использования".

◆Отказывайтесь от бесконечной авторизации: При выполнении операции авторизации в любом dApp обязательно отказывайтесь от "опции по умолчанию", выбирайте "пользовательский лимит", авторизуйте только минимально необходимое количество токенов для текущей операции (например, для минта NFT достаточно авторизовать 0.01 ETH, для交易 — только сумму текущей交易).

◆Авторизуйте по необходимости, отзывайте после использования: Для dApp, с которыми взаимодействуете временно, немедленно отзывайте авторизацию после завершения操作; для长期 используемых合规 dApp регулярно проверяйте лимиты авторизации, чтобы избежать рисков для активов из-за уязвимостей в контрактах.

2. Тонкая настройка комиссии Gas, исключите злонамеренный перехват

Настройка параметров Gas является ключом к защите от перехвата комиссии Gas. Необходимо主动 контролировать права настройки Gas, не позволять манипулировать собой злонамеренным фронтендом или контрактом, снижать ненужные потери.

◆Включите расширенный контроль Gas: В основных кошельках (таких как MetaMask, TokenPocket) активируйте функцию "Расширенное управление Gas", вручную устанавливайте верхние limits цены Gas и лимита Gas, чтобы избежать подмены параметров злонамеренным фронтендом.

◆Ориентируйтесь на данные в блокчейне: Перед инициацией транзакции проверяйте среднюю цену Gas в текущей сети через обозреватели блоков, такие как Etherscan, Arbiscan, отклоняйте запросы на транзакции, явно превышающие рыночный уровень.

◆Избегайте периодов высокой загрузки: В периоды минта популярных проектов,发布 важных политик и т.д. комиссия Gas в сети резко возрастает. В это время следует приостановить не срочные операции или выбрать сеть 2-го уровня (Layer2) для взаимодействия, чтобы снизить成本 и риски.

3. Укрепите防线 безопасности транзакций, избегайте базовых ловушек

Помимо авторизации и настройки Gas, проверка деталей каждой транзакции и безопасность сценария взаимодействия также являются важными звеньями в防范 ловушек. Необходимо "тщательно проверять, отклонять подозрительное".

◆Проверяйте核心 информацию о транзакции: При подтверждении во всплывающем окне кошелька обязательно проверяйте три момента — совпадает ли адрес получателя (контракта) с официальным, верна ли сумма транзакции,合理 ли параметры Gas. Все три пункта обязательны.

◆Проверяйте подлинность dApp: Получайте ссылки на dApp только через официальные сайты, проверенные аккаунты в соцсетях (синяя галочка), проверяйте SSL-сертификат сайта и адрес контракта, отказывайтесь переходить по ссылкам из ненадежных источников.

◆Изолируйте рисковые активы: Используйте "стратегию двух кошельков". Горячий кошелек используйте только для хранения небольшой суммы активов для повседневных взаимодействий, крупные активы храните в аппаратном кошельке или холодном хранилище, полностью изолируя риски взаимодействия с блокчейном.

Часть 03-Действия после компрометации активов и рекомендуемые инструменты

Даже при принятии мер предосторожности можно стать жертвой злонамеренной атаки из-за невнимательности. В этом случае быстрые и точные действия могут минимизировать потери. Команда безопасности Zero Time Technology на основе практического опыта整理了 "шаги экстренного реагирования" и "необходимые инструменты безопасности", чтобы помочь пользователям взять инициативу в кризисной ситуации.

1. Три шага экстренного реагирования (Золотые 10 минут)

◆Немедленно заморозьте кошелек и отзовите авторизации: Обнаружив аномальный перевод активов или списание высокой комиссии Gas,第一时间 используйте функцию "приостановить транзакции" в кошельке чтобы заморозить操作; одновременно откройте инструмент управления авторизациями и массово отзовите все подозрительные авторизации контрактов, перекрыв канал перевода активов атакующему.

◆Зафиксируйте доказательства и сообщите на платформу: Сохраните скриншоты ключевых доказательств, таких как хэш транзакции (TxID), адрес злонамеренного контракта, записи авторизации, ссылка на доступ к dApp; отправьте хэш транзакции в обозреватель блоков, пометив эту транзакцию как "подозрительная атака"; одновременно сообщите в службу поддержки кошелька, платформы dApp для запроса помощи в блокировке.

◆Обратитесь за помощью к профессиональным security-организациям: В случае потери крупных активов немедленно свяжитесь с профессиональной организацией по блокчейн-безопасности (например, Zero Time Technology), предоставив полную цепочку доказательств. Команда безопасности с помощью технологий трассировки в блокчейне может отследить движение средств злоумышленника, помочь в подключении правоохранительных органов и попытаться заморозить активы на причастных адресах.

2. Рекомендуемые необходимые инструменты блокчейн-безопасности

Чтобы помочь пользователям в повседневной защите и быстром реагировании на риски,精选 4 практичных инструмента, охватывающих ключевые сценарии: управление авторизациями, проверка транзакций, оповещение о рисках. Все являются признанными в отрасли инструментами безопасности:

3. Распространенные ошибки при реагировании (Руководство по избежанию ловушек)

◆Заблуждение 1: Заплатить "плату за разблокировку" для возврата активов — Злоумышленник под предлогом "помощи в заморозке причастного адреса" требует токены, по сути это повторное мошенничество. Не верьте.

◆Заблуждение 2: Удалить кошелек и дело с концом — Удаление кошелька не отзывает авторизации контрактов, атакующий все еще может переводить активы. Правильный способ — сначала отозвать авторизации, затем重置 кошелек.

◆Заблуждение 3: Игнорировать трассировку в блокчейне — После крупных потерь самостоятельно отследить движение funds невозможно. Необходимо привлечь профессиональные организации и правоохранительные органы. Не отказывайтесь от защиты своих прав.

Заключение

Комиссия Gas и безопасность транзакций — это "первая линия обороны" в мире блокчейна. Ловушки, такие как бесконечная авторизация и перехват комиссии Gas, по сути, используют самонадеянность пользователей и незнание технических деталей. Сталкиваясь с приглашениями к взаимодействию от различных dApp, помните три основных принципа: "авторизация — минимум, транзакция — с задержкой (проверить), при ущербе — действовать быстро". Это позволит эффективно избежать绝大部分 рисков.

Трендовые криптовалюты

CitreaCTR

wrapped stUSDTWSTUSDT

Velodrome FinanceVELODROME

BrevisBREV

ZRX（0X）ZRX

Связанные с этим вопросы

QЧто такое неограниченное разрешение (Infinite Approval) и почему оно опасно?

AНеограниченное разрешение — это когда пользователь предоставляет смарт-контракту право на неограниченное использование определенного токена из своего кошелька. Это опасно, потому что злоумышленники могут использовать эту уязвимость для незаметного перевода всех ваших средств без дополнительного подтверждения.

QКак работает захват комиссии за газ (Gas Fee Hijacking)?

AЗахват комиссии за газ происходит, когда злоумышленники через вредоносные контракты или поддельные транзакции заставляют пользователя платить значительно завышенную комиссию. Это может происходить через изменение параметров газа на фронтенде DApp или внедрение кода, который искусственно увеличивает расход газа.

QКакие меры предосторожности можно предпринять для защиты от мошеннических контрактов?

A1. Всегда используйте принцип минимального необходимого разрешения. 2. Вручную настраивайте лимиты газа, ориентируясь на актуальные данные из блокчейна. 3. Проверяйте адреса контрактов и подлинность DApp. 4. Используйте отдельные кошельки для повседневных операций и хранения крупных сумм.

QЧто делать, если вы уже стали жертвой атаки и потеряли активы?

A1. Немедленно заморозьте кошелек и отзовите все подозрительные разрешения. 2. Сохраните доказательства: хэш транзакции, адреса контрактов. 3. Сообщите о инциденте на платформу и в блокчейн-эксплореры. 4. Обратитесь к профессиональным компаниям по безопасности для отслеживания средств и помощи.

QКакие инструменты могут помочь в обеспечении безопасности транзакций и управления разрешениями?

A1. Инструменты для управления разрешениями (например, Revoke.cash). 2. Блокчейн-эксплореры (Etherscan, Arbiscan) для проверки актуальных комиссий и адресов. 3. Кошельки с расширенными настройками газа (MetaMask, TokenPocket). 4. Сервисы для проверки подлинности DApp и контрактов.

Похожее

Свадебное дело Чхве Тхэвона закрыто: раскрывая скрытые линии наследования за триллионной империей SK Hynix

Дело о разводе главы SK Group Чхве Тхэвона завершилось, раскрывая сложные сценарии наследования в конгломерате, стоящем за SK Hynix, чья капитализация превысила 1000 трлн вон. В отличие от традиционных сценариев наследования в чеблях, где ключевую роль играют первенец, доли, брачные связи и отцовское признание, трое детей Чхве Тхэвона от бывшей жены Но Соён — дочь Чхве Юнджон (1989 г.р.), дочь Чхве Минджон (1991 г.р.) и сын Чхве Ингын (1995 г.р.) — следуют разными путями. Чхве Юнджон, названная СМИ «наиболее очевидным кандидатом», занимает руководящую должность в SK Inc. и работает над стратегией развития в области биотехнологий и точной медицины, сочетая научную подготовку с бизнес-опытом. Её брак с основателем ИИ-стартапа символизирует новый тип элитных союзов. Чхве Минджон, добровольно служившая в ВМС Республики Корея и работавшая в сфере международной политики в SK Hynix в США, сейчас является основателем ИИ-стартапа в сфере здравоохранения. Её брак с бывшим офицером морской пехоты США подчёркивает связь с геополитическим контекстом, в котором теперь существует полупроводниковый гигант. Чхве Ингын, единственный сын и, казалось бы, естественный наследник по старой логике, сохраняет молчание. Имея образование в области физики, он покинул SK E&S, чтобы присоединиться к McKinsey, что рассматривается как стандартная внешняя стажировка, но без явных сигналов о наследовании. Громкое судебное разбирательство по разводу родителей, связанное с разделом активов на триллионы вон, стало фоном для их путей. По мере того как SK Hynix становится глобальным геополитическим активом в эпоху ИИ, наследование в SK перестаёт быть семейным делом, превращаясь в публичный экзамен на легитимность в новой, сложной реальности. Наследникам предстоит найти свои собственные ответы на вызовы эпохи.

marsbitВчера 09:08

Свадебное дело Чхве Тхэвона закрыто: раскрывая скрытые линии наследования за триллионной империей SK Hynix

marsbitВчера 09:08

Банки выступают против компромисса по доходности стейблкоинов – Найдёт ли закон CLARITY 60 голосов?

Американский Банковский институт политики выступил против нового проекта закона CLARITY Act, указав на пробелы в регулировании доходности стейблкоинов и мерах по борьбе с незаконными финансами. Банковский сектор добивается полного запрета любых форм вознаграждений по стейблкоинам и лоббирует сенаторов, что снижает поддержку со стороны республиканцев. Из-за смерти сенатора Грэма и болезни Макконнелла у республиканцев стало 51 голос. Если сенаторы Кёртис и Корнин откажут в поддержке, эта цифра упадет до 49, а для принятия закона потребуется 60 голосов. Необходимость заручиться поддержкой 11 демократов осложняется тем, что некоторые про-крипто демократы также выступают против законопроекта. Сроки ограничены: до августовских каникул Сената осталось две недели. Лидер большинства Джон Тюн сомневается в успехе до перерыва. Советник Белого дома по криптовалютам Патрик Уитт призывает провести голосование, утверждая, что новые этические нормы устраняют возражения демократов. Вероятность принятия закона в 2026 году, по рыночным оценкам, упала до 32%.

ambcryptoВчера 09:03

Банки выступают против компромисса по доходности стейблкоинов – Найдёт ли закон CLARITY 60 голосов?

ambcryptoВчера 09:03

За 2 месяца оценка выросла с 8,8 до 68 млрд юаней! Крупнейший AI-хаб OpenRouter может быть куплен

Stripe ведет переговоры о приобретении стартапа OpenRouter, агрегатора API крупных языковых моделей, за сумму около 100 миллиардов долларов. Это представляет собой семикратный рост по сравнению с оценкой OpenRouter в 13 миллиардов долларов двумя месяцами ранее. OpenRouter выступает в качестве «маршрутизатора» или агрегатора для более чем 400 AI-моделей (таких как GPT, Claude и множество открытых), позволяя разработчикам через единый API выбирать наиболее подходящую модель для каждой задачи на основе стоимости, скорости и сложности. Это помогает приложениям снижать расходы, автоматически направляя простые запросы к более дешевым моделям. Компания, основанная соучредителем OpenSea Алексом Аталлой, демонстрирует быстрый рост: ее ежегодный доход достиг 50 миллионов долларов, увеличившись в пять раз за полгода. Для Stripe, крупнейшего процессора онлайн-платежей, это вторая крупная сделка в сфере AI-инфраструктуры после приобретения платформы биллинга Metronome в 2025 году. Стратегия Stripe заключается в создании комплексного предложения для AI-экономики: OpenRouter будет «выбирать модель», Metronome — «подсчитывать потребление», а существующие платежные сервисы Stripe — «обрабатывать оплату». Таким образом, Stripe стремится контролировать ключевой уровень инфраструктуры, который определяет распределение трафика между моделями и формирует счета для конечных предприятий. Сделка подчеркивает растущую важность промежуточного слоя, который управляет стоимостью и выбором моделей для миллионов пользователей AI-приложений.

链捕手Вчера 09:00

За 2 месяца оценка выросла с 8,8 до 68 млрд юаней! Крупнейший AI-хаб OpenRouter может быть куплен

链捕手Вчера 09:00

От OpenSea до OpenRouter: Алекс Аталлах повторяет сценарий «ухода на пике»?

Автор: Нэнси, PANews Алекс Аталла, соучредитель NFT-платформы OpenSea, покинул компанию на пике пузыря NFT четыре года назад. Сейчас он снова оказывается в центре внимания на волне бума ИИ, готовясь продать созданную им агрегирующую платформу AI-моделей OpenRouter по высокой цене. По данным The Wall Street Journal от 23 июля, платежный гигант Stripe ведет переговоры о приобретении OpenRouter, при этом потенциальная оценка сделки может приблизиться к 100 миллиардам долларов. Если сделка состоится, это станет еще одним успехом Аталлы в создании компании на уровне ста миллиардов долларов после OpenSea. Ранее в этом месяце появились сообщения о том, что OpenRouter получил предложения о покупке от нескольких крупных технологических компаний. Потенциальная сделка со Stripe рассматривается как важный шаг для инфраструктурного гиганта в сфере платежей по расширению своего присутствия в области инфраструктуры ИИ. По данным информированных источников, если сделка будет заключена, оценка OpenRouter может приблизиться к 100 миллиардам долларов, что значительно превышает его предыдущие оценки при финансировании. Всего за три года компания добилась быстрого роста благодаря буму больших моделей. Это не первая компания Аталлы стоимостью в сто миллиардов. Ранее он был соучредителем OpenSea, ведущей мировой платформы для торговли NFT, пиковая оценка которой превысила 130 миллиардов долларов. Его уход с OpenSea до серьезного спада на рынке NFT рассматривался как знаковый сигнал. OpenRouter стала крупнейшим хабом в эпоху ИИ, подключившись к более чем 400 AI-моделям, имея около 10 миллионов пользователей и обрабатывая более 200 триллионов токенов в месяц. Однако, несмотря на быстрый рост, это бизнес с большими объемами, но ограниченной рентабельностью. Его основная бизнес-модель заключается в взимании комиссии за платформу (около 5-5,5%) при вызове разработчиками AI-моделей. Конкуренция на рынке агрегации AI-моделей также обостряется. Высокая оценка OpenRouter, возможно, больше отражает его будущий потенциал, чем текущую прибыльность. Для потенциальных покупателей наиболее ценным активом могут быть не текущие доходы, а накопленные реальные данные об использовании ИИ, которые трудно быстро воспроизвести. От NFT к ИИ Алекс Аталла дважды поймал волну технологического бума. Если продажа OpenRouter состоится с оценкой в 100 миллиардов долларов, это может означать либо переоценку стоимости инфраструктуры ИИ, либо сигнал о новом пике цикла. Ответ на этот вопрос даст только время.

链捕手Вчера 08:44

От OpenSea до OpenRouter: Алекс Аталлах повторяет сценарий «ухода на пике»?

链捕手Вчера 08:44

Приближается ли Биткойн к очередной зоне накопления? ЭТОТ сигнал говорит «да»

Аналитики отмечают, что Bitcoin (BTC) переживает один из самых длительных медвежьих периодов, охватывающий три квартала и два календарных года, при этом его динамика отклонилась от рынка акций. Однако сохраняется корреляция с акциями Apple (AAPL). График соотношения BTC/AAPL с 2017 года движется в восходящем канале, где его нижняя граница традиционно сигнализирует о зоне недооценки (накопления) для Bitcoin, а верхняя — о перекупленности. В настоящее время соотношение приближается к линии поддержки, что, по историческим данным, может предшествовать новой фазе роста BTC. При этом в 2025 году нарушилась многолетняя корреляция годовой доходности Bitcoin с индексами S&P 500 и Nasdaq 100, что объясняется его более резкой реакцией на макроэкономические потрясения. В качестве подтверждающего сигнала для разворота рассматриваются поступления стейблкоинов на криптобиржи, которые указывают на готовность капитала к реинвестированию. За последние семь дней чистый приток составил $1,42 млрд, что значительно меньше оттока в $10 млрд за предыдущие 30 дней и пока недостаточно для уверенного старта ралли. Таким образом, соотношение BTC/AAPL указывает на возможное приближение к зоне накопления, но для подтверждения тренда необходимы более значительные притоки стейблкоинов.

ambcryptoВчера 08:24

Приближается ли Биткойн к очередной зоне накопления? ЭТОТ сигнал говорит «да»