KTX × LUKKEY AMA: Две линии защиты для обеспечения безопасности ваших криптоактивов

Краткое содержание: На крипторынке риски для активов исходят не только от хакеров. Казалось бы, обычная ссылка, подпись, смысл которой вы не до конца понимаете, или вредоносное разрешение могут привести к тому, что пользователи сами того не осознавая утратят контроль над своими активами. После выхода на рынок торговли чрезмерное кредитное плечо, неконтролируемый размер позиции и импульсивные попытки компенсировать убытки также могут быстро увеличить риски.

В рамках последнего KTX Space (20 октября) Миа из маркетинговой команды KTX пригласила Джейми, генерального директора LUKKEY, на беседу продолжительностью около 40 минут, посвящённую безопасности кошельков, приватным ключам и разрешениям, фишинговым ссылкам, вредоносным подписям, рискам DApp, кредитному плечу, управлению позициями, ликвидации и психологии торговли после убытков.

В конечном счёте AMA сводилась к двум простым вопросам:

Какое разрешение я предоставляю и кому?

Если всё пойдёт не по плану, какой убыток я готов понести?

Чтобы узнать больше о новостях рынка KTX, торговых продуктах и материалах прямых трансляций, посетите официальный сайт KTX.

1. Безопасность кошелька — это нечто большее, чем «не раскрывать приватный ключ»

Для многих пользователей криптовалют первый шаг к осознанию вопросов безопасности прост: защищайте свой приватный ключ и сид-фразу.

Это, безусловно, важно. Однако, по словам Джейми, генерального директора LUKKEY, надлежащая безопасность кошелька должна учитывать как минимум три вопроса:

Кто контролирует приватный ключ?

Что именно я подтверждаю?

Если моё устройство будет утеряно, смогу ли я восстановить свои активы?

Во время AMA Джейми объяснил, что самостоятельное хранение даёт пользователям больше контроля над активами, но также означает необходимость самостоятельно отвечать за их резервное копирование и использование. Одна из важных функций аппаратного кошелька — защищать приватные ключи и выполнять подписание в специализированной аппаратной среде.

Например, LUKKEY Air — это аппаратный кошелёк в форме карты, который работает со приложением на смартфоне через NFC. Он использует защищённый чип EAL6+ для защиты приватных ключей, а операции подписания выполняются внутри карты. Пользователи могут просматривать активы и запросы на проведение транзакций на телефоне, а затем приложить карту, чтобы завершить операцию.

Однако Джейми также подчеркнул, что аппаратный кошелёк не означает, что пользователи могут перестать проверять свои транзакции.

Кошелёк может защищать приватный ключ и процесс подписания, но он не может определить за пользователя, что именно означает конкретная подпись.

Если пользователь подтверждает вредоносное разрешение, его активы всё равно могут оказаться под угрозой, даже если сам приватный ключ никогда не раскрывался.

Таким образом, безопасность кошелька включает два уровня:

Уровень первый: защитить приватный ключ.

Уровень второй: понимать, что именно вы подтверждаете.

2. Почему активы всё ещё могут быть украдены, даже если вы никогда не раскрывали приватный ключ?

Это был один из наиболее важных моментов для обычных пользователей, обсуждавшихся во время AMA.

Многие считают, что пока они никому не сообщают сид-фразу или приватный ключ, их кошелёк остаётся в безопасности.

На самом деле злоумышленнику не обязательно сначала получать приватный ключ.

Джейми использовал простую аналогию: вы можете надёжно хранить свой ключ, но если подпишете документ, разрешающий кому-то забрать определённые вещи, этому человеку вовсе не обязательно красть ваш ключ.

Разрешения на использование токенов в блокчейне могут работать похожим образом.

Пользователь может думать, что просто участвует в кампании, получает аирдроп или подключается к DApp. Однако фактически операция может предоставить смарт-контракту разрешение на использование его токенов.

Если авторизованный контракт является вредоносным или если объём разрешения значительно шире, чем требуется для предполагаемой операции, активы пользователя могут оказаться под угрозой.

Ещё одна область, требующая внимания, — это подписи в стиле Permit.

Такие подписи могут не приводить к немедленному переводу средств и не требовать от пользователя оплаты газа, из-за чего легко возникает впечатление: «ничего не переведено, значит, риска нет».

Но отсутствие немедленного перевода автоматически не означает, что подпись безопасна.

Пользователям следует спросить:

Кто инициировал этот запрос?

Почему меня просят это подписать?

Что эта подпись может разрешить в дальнейшем?

Какие активы и разрешения затрагиваются?

Это было одним из главных сообщений, неоднократно повторявшихся в ходе AMA: не спрашивайте только о том, вводили ли вы свой приватный ключ. спросите, не предоставили ли вы кому-то добровольно конкретное разрешение.

3. Вы видите сообщение «Подключите кошелёк и получите 500 USDT». Что следует сделать в первую очередь?

Представьте, что вы видите такую кампанию в X:

«Подключите кошелёк и получите 500 USDT».

Сайт выглядит профессионально. На нём есть сайт, похожий на официальный, аккаунты в социальных сетях и подробная информация о проекте.

Самая распространённая ошибка на этом этапе — немедленно подключить кошелёк.

Первая рекомендация Джейми была прямо противоположной:

Пока не подключайте кошелёк.

Сначала перейдите к кампании через официальный источник, который вам уже известен и который вы независимо проверили. Убедитесь, что кампания действительно существует.

Затем сопоставьте описание кампании, требования к участию, источник вознаграждения и правила его получения.

Что ещё важнее, проверьте, что:

Цель, описанная в рекламном материале, соответствует действиям, которые запрашивает сайт.

Если заявляется, что кампании достаточно проверить право на участие, но сайт просит пользователей ввести сид-фразу или предоставить незнакомому контракту широкое разрешение на использование активов, следует немедленно остановиться.

Существует и другое распространённое заблуждение:

«А если я просто использую небольшой кошелёк для проверки?»

Разделение долгосрочных вложений и средств, используемых для изучения новых приложений, может помочь ограничить подверженность риску.

Но использование небольшого кошелька не доказывает, что проект безопасен.

Более важный вопрос:

От чего именно я отказываюсь в обмен на это вознаграждение?

4. Не следует автоматически доверять даже ссылке, опубликованной официальным аккаунтом в X

Ещё один распространённый сценарий связан с сообщениями в Telegram.

Кто-то внезапно связывается с вами, выдаёт себя за официальную службу поддержки и даже знает адрес вашего кошелька и последние транзакции в блокчейне.

Многие пользователи могут подумать:

«Они знают историю моих транзакций, значит, они действительно официальные представители».

Не обязательно.

Публичные адреса кошельков и записи о транзакциях в блокчейне часто доступны любому желающему.

Знание этой информации не доказывает наличие официального статуса.

Если вы столкнулись с такой ситуацией, безопаснее всего прекратить общение в личных сообщениях и проверить проблему через официальный канал поддержки, найденный вами самостоятельно.

Не используйте «ссылку для проверки», отправленную этим человеком, и никогда не сообщайте сид-фразу или приватный ключ по его просьбе.

Если кто-то заявляет, что с вашим кошельком возникла проблема безопасности, и просит перевести активы на так называемый «безопасный счёт», немедленно остановитесь.

Для расследования проблемы с кошельком легитимная служба поддержки не требует вашу сид-фразу.

И чем настойчивее вас торопят, тем важнее замедлиться.

Цель не в том, чтобы немедленно решить проблему.

Первый шаг — проверить, с кем именно вы имеете дело.

5. «Это всего лишь подпись сообщения». Действительно ли это полностью безопасно?

Ещё одна ситуация, которая легко может усыпить бдительность пользователей:

«Подпишите это сообщение, чтобы подтвердить, что вы владеете этим кошельком».

Запроса на перевод средств нет, как нет и запроса на ввод приватного ключа.

Безопасно ли подписывать такое сообщение?

Рекомендация Джейми была однозначной:

Если вы не понимаете смысл запроса, сначала отклоните его и проверьте.

Обычные процессы входа в кошелёк действительно могут включать подписи, поэтому было бы неправильно утверждать, что каждая подпись сообщения является вредоносной.

Но пользователям также не следует считать подпись безопасной только потому, что во всплывающем окне написано «Сообщение» или потому, что средства не списываются немедленно.

Некоторые подписи могут впоследствии предоставлять разрешения.

Перед подписанием пользователям следует как минимум проверить:

• Какой сайт инициировал запрос на подпись?
• Почему требуется подпись?
• Соответствует ли содержимое подписи выполняемой операции?
• Предоставляет ли она разрешение на использование активов?

Если кошелёк отображает предупреждение системы безопасности, внимательно прочитайте его. Даже если предупреждение не появилось, это не означает, что запрос можно пропустить без проверки.

Есть и ещё один момент, который легко упустить:

Отключение сайта от кошелька — это не то же самое, что отзыв разрешения на использование токенов в блокчейне.

Если разрешение в блокчейне уже предоставлено, простого ухода с сайта или отключения кошелька не всегда достаточно для его отмены.

6. От «предотвращения взломов» к «предотвращению ликвидаций»: почему осторожные пользователи могут внезапно начать действовать агрессивно?

Если безопасность кошелька отвечает на вопрос о том, может ли кто-то ещё получить доступ к вашим активам, то управление торговыми рисками отвечает на другой вопрос:

Можете ли вы увеличить собственный риск сверх того уровня, с которым способны справиться?

Во время AMA Миа задала очень практичный вопрос:

Почему некоторые пользователи крайне осторожны в вопросах безопасности кошелька, но готовы использовать очень высокое кредитное плечо после выхода на рынок торговли?

Джейми объяснил, что люди часто по-разному воспринимают различные источники риска.

Когда незнакомец отправляет нам подозрительную ссылку, мы естественным образом проявляем осторожность.

Но когда речь идёт о сделке, которую мы сами изучили, проанализировали и решили совершить, нам гораздо легче переоценить уверенность в собственных суждениях.

После нескольких успешных сделок человек может постепенно перейти от мысли:

«Я правильно спрогнозировал эти сделки».

к мысли:

«Я могу контролировать то, что произойдёт дальше».

И именно здесь начинаются проблемы.

Перед открытием сделки пользователям следует разделить два вопроса:

Во-первых, почему я считаю, что рынок будет двигаться именно так?

Во-вторых, что я буду делать, если ошибусь?

Первый вопрос определяет, есть ли причина для открытия сделки.

Второй определяет, превышает ли сделка ваш фактический уровень приемлемого риска.

Многие трейдеры сосредоточены главным образом на первом вопросе, но не планируют свои действия в случае второго сценария.

Они начинают думать о том, что делать, только после того, как рынок уже пошёл против них.

7. Что на самом деле означает кредитное плечо 100x?

Во время AMA Джейми использовал простой пример, чтобы объяснить риски высокого кредитного плеча.

Предположим, у пользователя есть 1 000 USDT, вся сумма используется в качестве начальной маржи для линейной фьючерсной позиции, а кредитное плечо составляет 100x.

Соответствующий номинальный размер позиции составит примерно:

100 000 USDT.

Если не учитывать комиссии и другие факторы, то при движении рынка на 0,5% против позиции убыток составит примерно:

500 USDT.

Это эквивалентно половине начальной маржи.

Конечно, это не означает, что неблагоприятное движение на 0,5% автоматически приведёт к ликвидации.

Фактический уровень ликвидации также зависит от таких факторов, как поддерживающая маржа, маркировочная цена, режим маржи и конкретные правила платформы.

Главная мысль заключается в следующем:

Кредитное плечо увеличивает размер позиции и тем самым усиливает влияние краткосрочных изменений цены на маржу.

Что ещё важнее, сделка может завершиться неудачей, даже если в итоге направление движения рынка окажется правильным.

Если рынок сначала движется против вас и позиция ликвидируется, последующее движение в спрогнозированном вами направлении уже не сможет изменить результат закрытой сделки.

Пользователи могут анализировать рынок на странице торговли бессрочными контрактами KTX с маржой в USDT и должны понимать механизмы маржи, кредитного плеча и ликвидации до начала торговли. KTX также предоставляет руководство на английском языке по бессрочным контрактам с маржой в USDT.

8. Настоящий вопрос не «Понесу ли я убыток?», а «Какой убыток я могу себе позволить?»

Что же обычным трейдерам следует контролировать в первую очередь?

Кредитное плечо?

Размер позиции?

Или эмоции?

Ответ Джейми заключался не в том, чтобы сосредоточиться на одной переменной, а в том, чтобы начать с более фундаментального вопроса:

Какой убыток я готов понести, если эта сделка окажется неудачной?

Сначала установите эту границу.

Затем определите размер позиции, условия выхода и уместность использования кредитного плеча.

Не открывайте позицию, чтобы только после начала убытков решить, какой уровень потерь вы можете выдержать.

Вместо этого заранее установите правила:

При каких условиях я выйду из сделки?

Когда я приостановлю торговлю?

Следует ли мне остановиться после определённого количества последовательных убытков?

Разрешено ли мне временно добавить средства?

Ценность этих правил заключается в том, что вы принимаете решения за своего будущего себя, пока находитесь в рациональном состоянии.

Стоп-лосс может быть полезным инструментом управления рисками, однако во время экстремальной волатильности или при недостаточной ликвидности фактическая цена исполнения может отличаться от ожидаемой.

Поэтому цену стоп-лосса не следует рассматривать как гарантию того, что убытки будут ограничены ровно этим уровнем.

9. Самая опасная мысль после убытка: «Мне нужно его компенсировать»

После потери денег многие трейдеры испытывают сильное желание:

«Я должен компенсировать это в следующей сделке».

Проблема в том, что когда следующая сделка получает дополнительную цель — компенсировать предыдущий убыток, — она перестаёт быть просто очередной сделкой.

Она может превратиться в:

«Мне нужно доказать, что предыдущая сделка была просто неудачей».

«Мне нужно восстановить свой счёт».

«Я не могу закончить сегодняшний день с таким убытком».

Но рынок работает не в соответствии с вашим желанием вернуть деньги.

Джейми предложил простую самопроверку:

Если бы предыдущего убытка не было, открыл бы я эту сделку?

Использовал бы я тот же размер позиции?

Если ответ отрицательный, возможно, пришло время остановиться.

Во время паузы трейдеры могут проанализировать предыдущую сделку:

Было ли неверным суждение о рынке?

Не была ли позиция слишком большой?

Было ли нарушено правило выхода?

Или изначально не было чёткого плана?

Есть и важное различие:

Плановое увеличение позиции — не то же самое, что неоднократное увеличение риска после убытка.

Ключевые вопросы:

Была ли чёткая причина для добавления?

Был ли заранее установлен максимальный лимит риска?

Сохраняет ли силу первоначальная торговая гипотеза?

Если на эти вопросы нельзя дать чёткий ответ, сохранение капитала может быть ценнее, чем поспешная попытка компенсировать убыток.

10. Пять правил объединения безопасности кошелька и управления торговыми рисками

Если свести весь AMA к пяти рекомендациям, ответы Джейми будут предельно ясными.

1. Понимайте и защищайте способ восстановления доступа

Понимайте, какую модель кошелька вы используете и какие материалы для восстановления необходимо хранить в безопасности.

Никогда не сообщайте сид-фразу или приватный ключ службе поддержки, веб-сайтам или организаторам кампаний.

2. Перед каждым подтверждением понимайте, что именно вы делаете

Подключение, вход в систему, предоставление разрешения и перевод средств — это разные действия.

Если операция связана с разрешениями на использование активов, внимательно проверьте адрес назначения и объём разрешения.

3. Чётко разграничивайте разные типы средств

Долгосрочные вложения, средства для повседневного использования и средства для изучения новых приложений можно разделять и управлять ими по отдельности в зависимости от вашей ситуации.

Перед использованием нового приложения решите, какую сумму вы готовы подвергнуть риску.

4. Определите приемлемый для вас убыток до выбора размера сделки

Не отказывайтесь от планирования рисков только потому, что хотите получить более высокую доходность или считаете свой капитал слишком небольшим.

Перед торговлей деривативами изучите режимы маржи и правила ликвидации.

5. Давайте себе время на проверку и паузу

Если вы не понимаете подпись, вы можете просто отказаться её подписывать.

Если вы обнаружили, что думаете только о компенсации убытков, вы можете отказаться от торговли.

Логика этих пяти рекомендаций едина:

Не позволяйте другим торопить вас с предоставлением разрешений кошелька и не позволяйте собственным эмоциям подталкивать вас к принятию чрезмерного торгового риска.

11. Шесть вопросов «верно или неверно»: действительно ли вы понимаете риски кошельков и торговли?

В заключительной быстрой части Миа и Джейми обобщили всю дискуссию с помощью шести утверждений.

«Пока я не раскрыл свой приватный ключ, мой кошелёк в безопасности».

Неверно.

Вредоносные разрешения и подписи, предоставляющие разрешения, также могут поставить активы под угрозу.

«Ссылка, опубликованная официальным аккаунтом в X, всегда безопасна».

Неверно.

Официальные аккаунты также могут быть взломаны. Пользователям по-прежнему необходимо проверять ссылку и запрашиваемое действие.

«Подключение кошелька — это всего лишь вход в систему, поэтому риска нет».

Не обязательно.

Само по себе подключение кошелька обычно не предоставляет разрешение на перевод токенов, однако последующие подписи для входа, разрешения и транзакции всё равно необходимо проверять отдельно.

«Холодный кошелёк означает 100%-ную безопасность».

Неверно.

Аппаратный кошелёк может усилить защиту приватного ключа, но пользователям всё равно необходимо создавать резервные копии данных для восстановления и внимательно проверять разрешения и транзакции.

«Если я правильно определил направление рынка, кредитное плечо 100x — это нормально».

Неверно.

Рынок может сначала пойти против позиции, вызвав ликвидацию до того, как прогнозируемое направление в конечном итоге реализуется.

«Всегда разумно увеличивать убыточную позицию, потому что это снижает среднюю стоимость».

Неверно.

Ключевые вопросы заключаются в том, существовали ли заранее определённый план и максимальный лимит риска, а также сохраняет ли силу торговая гипотеза.

12. Заключение: настоящая безопасность означает сохранение контроля в собственных руках

В рамках AMA KTX × LUKKEY обсуждение перешло от безопасности кошелька к управлению торговыми рисками. Хотя поначалу это может показаться двумя разными темами, в конечном счёте они указывают на один и тот же принцип:

Вы должны сохранять контроль над своими активами в собственных руках.

Безопасность кошелька ставит вопрос:

Какое разрешение я предоставляю и кому?

Управление торговыми рисками ставит вопрос:

Если всё пойдёт не по плану, какой убыток я готов понести?

Пользователь может иметь чрезвычайно безопасный аппаратный кошелёк и всё равно столкнуться с риском из-за вредоносного разрешения.

Аналогичным образом, пользователь может никогда не столкнуться с хакером, но всё равно потерять значительную часть капитала из-за чрезмерного кредитного плеча и неконтролируемого размера позиций.

Таким образом, настоящая безопасность криптоактивов — это не просто покупка аппаратного кошелька или установка стоп-лосса.

Это набор повседневных привычек:

Если вы не понимаете ссылку, не спешите нажимать на неё.

Если вы не понимаете подпись, не спешите её подписывать.

Если вы не понимаете разрешение, не спешите его подтверждать.

Если вы не продумали сделку, не спешите открывать позицию.

После убытка не спешите его компенсировать.

В конце AMA Джейми подвёл итог простой мыслью:

Проверяйте разрешение перед каждым подтверждением, продумывайте выход перед каждой сделкой и сохраняйте контроль над своими активами в собственных руках.

Пользователи могут посетить официальный сайт KTX, чтобы изучить спотовую торговлю, фьючерсы и другие торговые продукты. На странице спотовой торговли KTX BTC/USDT доступен спотовый рынок, а на странице рынка KTX представлены рыночные данные и торговая информация.

Дополнительные образовательные материалы, анализ рынка, торговые руководства и записи KTX Live доступны на сайте KTX Crypto Learn.

Для разработчиков и количественных трейдеров в документации KTX API представлены документы на английском языке по рыночным данным, пользовательским данным, потокам WebSocket, данным книги ордеров и API, связанным с торговлей.

Актуальные торговые комиссии также можно посмотреть на странице тарифов KTX.

Эта статья основана на сценарии интервью AMA в рамках Twitter Space KTX × LUKKEY «Две линии защиты для обеспечения безопасности ваших активов: безопасность кошелька и управление торговыми рисками». Мнения, высказанные в ходе обсуждения, основаны на личном опыте и взглядах гостя и не являются инвестиционной, торговой или связанной с безопасностью рекомендацией либо гарантией. Криптоактивы и деривативы связаны со значительными рисками. Принимайте решения с учётом собственных обстоятельств и допустимого для вас уровня риска.