Отдельный кошелёк для airdrop-фарма: настройка и гигиена разрешений

Отдельный кошелёк для airdrop-фарма нужен не для того, чтобы «увеличить шансы», а чтобы ограничить ущерб: аирдроп-активность — это десятки подключений к новым сайтам, подписей и разрешений, и каждое из них — потенциальная точка утечки. Эта статья о том, как настроить кошелёк под аирдропы так, чтобы он был безопасным, независимым с точки зрения ончейн-анализа и не тянул за собой основные средства.

Это описание практик безопасности и гигиены кошелька, а не инструкция по получению токенов и не финансовый совет. Ни одна из настроек не гарантирует аллокацию и не защищает от всех рисков — она лишь снижает их.

Зачем отдельный кошелёк

Основной аргумент — изоляция риска. Кошелёк, которым ты подключаешься к тестнетам, новым dApp и сайтам клейма, регулярно взаимодействует с непроверенным кодом. Если один из этих сайтов окажется фишинговым, он получит доступ только к тому, что лежит на этом адресе. Держать на нём долгосрочные активы — значит подставлять их под каждое подключение.

Второй аргумент — читаемость истории. Кошелёк, на котором смешаны личные переводы, зарплата, NFT и десятки протоколов, сложно проверять на разрешения и подозрительные транзакции. Отдельный адрес под активность проще держать в порядке.

Третий — независимость для ончейн-анализа. Если основной кошелёк регулярно пополняет «фарм-адрес», они связаны на графе. Это не проблема, пока у тебя один фарм-адрес, но становится проблемой, если их несколько. Как именно проекты связывают адреса, разобрано в статье о Sybil-фильтрах.

Сид-фраза и доступ

Сид-фраза даёт полный контроль над всеми адресами кошелька, и её утечка не исправляется ничем — только переносом средств на новый кошелёк. Несколько правил, которые не зависят от того, какой софт ты используешь:

Оффлайн-хранение. Сид-фраза записывается на физический носитель и не попадает в облако, заметки, скриншоты, мессенджеры и менеджеры паролей с синхронизацией. Любое устройство с интернетом — потенциальная точка утечки.
Никакого ввода на сайтах. Ни один легитимный сайт, dApp или «служба поддержки» не просит сид-фразу. Запрос сида — это признак мошенничества без исключений.
Отдельный сид для отдельного кошелька. Если фарм-кошелёк — это просто ещё один адрес от того же сида, что и основной, изоляции нет: утечка одного компрометирует всё.
Аппаратный кошелёк для того, что дорого. Средства, которые ты не готов потерять, живут на аппаратном устройстве. Фарм-кошелёк может быть программным, потому что на нём должно лежать только то, что нужно для текущих действий.

Как пополнять, не связывая кошельки

Пополнение — первое ребро на графе транзакций, и именно оно чаще всего связывает адреса. Принцип: каждый кошелёк должен получать средства из источника, который не финансирует другие твои кошельки, участвующие в тех же кампаниях.

Самый чистый вариант — вывод с собственного биржевого аккаунта напрямую на фарм-адрес. Биржа использует пул адресов вывода, и связь между твоими адресами через неё слабая. Перевод с основного кошелька на фарм-кошелёк допустим, если фарм-кошелёк один: это просто пользователь, который пополняет рабочий адрес.

Чего избегать: disperse-контрактов и любых «раздач газа», которые одной транзакцией пополняют много адресов; цепочек, где один кошелёк пополняет второй, второй — третий; общего адреса, куда выводятся награды с нескольких кошельков. Все эти схемы читаются как один владелец, и не важно, так это или нет.

История вне кампании

Кошелёк, который появился за неделю до старта программы и исчез после снапшота, выглядит как инструмент, а не как пользователь. Модели детекции учитывают «возраст» адреса, разнообразие взаимодействий и активность после кампании.

Практически это означает: фарм-кошелёк стоит заводить заранее и использовать для реальных действий, а не только для чек-листа одного проекта. Переводы, покупки, участие в других протоколах, NFT, домены — всё это формирует историю, которую сложно подделать массово. Не нужно имитировать активность; достаточно вести на этом кошельке ту часть крипто-жизни, которую ты и так ведёшь.

Отдельно о нескольких кошельках. Они оправданы, когда у каждого есть своя роль: например, один для EVM-сетей, другой для другой экосистемы, третий как холодное хранилище. Несколько кошельков, которые делают одно и то же в одном проекте, — это ферма, и проект будет относиться к ним как к ферме, независимо от того, сколько за ними людей. Плюс масштабирование умножает риски безопасности: больше сидов, больше подключений, больше разрешений.

Гигиена разрешений токенов

Каждый свап, депозит в пул или стейк требует разрешения (approval) — права контракта распоряжаться токенами на твоём адресе. Часто интерфейсы запрашивают неограниченное разрешение, и оно остаётся после того, как ты закончил пользоваться протоколом. Если контракт окажется уязвимым или сайт — фишинговым, разрешение станет каналом для вывода средств.

Рутина, которая держит риск под контролем: перед подключением к новому сайту проверять ссылку через несколько официальных источников — как это делать, описано в статье о фейковых сайтах клейма; при запросе разрешения выставлять точную сумму вместо неограниченной, если интерфейс позволяет; после завершения кампании или раз в несколько недель просматривать активные разрешения и снимать ненужные. Механика отзыва и инструменты разобраны в статье об отзыве разрешений токенов.

Итоговая конфигурация выглядит так: аппаратный кошелёк для хранения, отдельный программный кошелёк с собственным сидом для аирдроп-активности, пополнение с биржи или с основного кошелька без цепочек, реальная история использования и регулярная ревизия разрешений. Это не даёт токенов, но делает так, что любая ошибка стоит ограниченно. Какие проекты сейчас в активной фазе и на каком статусе, можно смотреть на CoinDropster. Смотреть отслеживаемые аирдропы →