Як користувач Web3, я мав сумніви щодо безпеки WalletConnect і навіть особисто пережив випадок, який ледь не призвів до втрати коштів. Після сканування QR-коду на підробленому сайті я випадково підписав запит на "повний доступ". На щастя, гаманець вчасно надіслав попередження, що допомогло уникнути потенційних втрат коштів.

Цей досвід дозволив мені глибше вивчити роботу WalletConnect. Насправді, сам протокол WalletConnect не зберігає приватні ключі, він лише є посередником для передачі запитів на підпис. Справжній ризик безпеки полягає в тому, чи можуть користувачі правильно визначити походження DApp.

З технологічної точки зору, WalletConnect V2 вже впровадив ряд заходів для підвищення безпеки. Наприклад, новий механізм простору імен вимагає від DApp чітко вказувати підтримувані блокчейн-мережі та методи, що ефективно знижує ризик того, що користувач буде введений в оману на фальшиві ланцюги. Крім того, функція збереження сеансів дозволяє користувачам чітко бачити поточні авторизовані програми та відповідні дозволи.

Оглядаючи нещодавні випадки фішингу, про які повідомляли ЗМІ, висновок зазвичай вказує на те, що "користувачі були спонуковані підписати шкідливий запит", а не на те, що сам протокол WalletConnect має вразливості. Ця ситуація подібна до протоколу HTTPS — хоча протокол сам по собі є безпечним, користувачі все ще можуть розголошувати паролі на фішингових сайтах.

Тому ми не повинні вважати WalletConnect "безпечним чорним діркою". Це більше схоже на стандартизований канал зв'язку, ключовим моментом є те, що користувачі повинні бути пильними, вчитися розрізняти справжність URL, в той час як розробники гаманець повинні постійно оптимізувати механізми попередження про ризики. Адже безпека є комплексною проблемою, і не можна покладати всю відповідальність на один протокол.

У світі Web3 основним шляхом забезпечення безпеки активів є обережність і безперервне навчання.