Крипто-кошелёк не хранит монеты внутри телефона. Активы записаны в блокчейне, а кошелёк хранит ключи и создаёт подписи, подтверждающие право распоряжаться адресом. Потеря ключа, отправка не в ту сеть или подпись вредоносного запроса могут сделать средства недоступными. Поэтому настройка кошелька начинается не с покупки, а с понимания модели хранения и проверки восстановления.
Кастодиальный и некастодиальный кошелёк
Кастодиальный кошелёк хранит ключи у оператора. Пользователь входит через аккаунт сервиса, а восстановление обычно связано с его процедурой поддержки и проверкой личности. В Telegram такой вариант доступен через Crypto Wallet в интерфейсе Wallet. Он удобен для небольших повседневных операций, но пользователь зависит от доступности сервиса, его правил и блокировок.
Некастодиальный кошелёк создаёт ключи на устройстве или аппаратном устройстве. Seed-фраза является резервным представлением ключа. Владелец сам отвечает за её хранение: служба поддержки не может заменить утерянную фразу. К этой категории относятся TON Wallet внутри Telegram, Tonkeeper и другие приложения, если при создании они передают контроль ключей пользователю.
Термин TON Space встречается в старых инструкциях и может обозначать прежнее название некастодиального кошелька внутри Wallet. Не ориентируйтесь только на название: откройте официальную справку текущего приложения и проверьте, кто контролирует ключи, какая сеть используется и как выполняется восстановление.
Перед созданием кошелька
Установите Telegram и приложения кошелька только из официального магазина или ссылки с официального сайта. Проверьте имя разработчика, домен и цифровую подпись магазина. Реклама в поиске, сообщение от «поддержки» и ссылка из группы не являются подтверждением подлинности.
Для некастодиального кошелька заранее подготовьте бумагу или другой офлайн-носитель, недоступный посторонним. Не фотографируйте seed-фразу, не пересылайте её в Telegram и не сохраняйте в облачных заметках. Если фраза уже существовала на устройстве, к которому имели доступ другие люди, считайте её раскрытой и создайте новый кошелёк.
Кастодиальный и некастодиальный кошельки можно использовать одновременно для разных задач, но адреса и правила у них различаются. Перед отправкой убедитесь, что копируете адрес из нужного приложения, а не из истории старой операции.
Создание и резервная копия
При создании некастодиального кошелька приложение покажет seed-фразу. Запишите слова в точном порядке, включая повторяющиеся слова. Не вводите фразу на сайте для «проверки», не отправляйте её оператору и не вводите в другой кошелёк, если не выполняете осознанное восстановление.
Приложение попросит подтвердить отдельные слова. Воспринимайте этот шаг как проверку записи, а не как резервное копирование. После создания спрячьте носитель от влаги, огня и случайного доступа. Для значительных средств применяйте раздельное хранение копий, но не делайте цифровые копии без понимания риска.
Запишите также название сети, тип кошелька и дату создания без самой seed-фразы. Это помогает не перепутать несколько кошельков. Никогда не храните рядом подсказку, позволяющую восстановить слова по фотографии или паролю.
Проверка восстановления
До пополнения создайте контрольный план восстановления. Убедитесь, что знаете официальный маршрут восстановления в приложении. Затем установите приложение на отдельное чистое устройство или используйте удалённый тестовый профиль, выберите восстановление и введите seed-фразу только в самом приложении. Сверьте адрес после восстановления с первоначальным адресом.
Если адрес отличается, остановитесь. Возможны ошибка в слове, порядке слов, типе derivation path или выбор другой сети. Не переводите средства на новый адрес, пока причина не установлена. После проверки удалите тестовый профиль и снова убедитесь, что бумажная копия хранится безопасно.
Сеть, адрес и memo
Один и тот же актив может существовать в разных сетях. TON, Ethereum, TRON и другие сети используют разные форматы сообщений и комиссий. Выбирайте сеть отправки и получения одинаково. Наличие одинакового тикера, например USDT, не означает совместимость адресов.
Перед отправкой сравните первые и последние символы адреса, но не полагайтесь только на них: вредоносное приложение может подменить адрес в буфере обмена. Используйте QR-код только из доверенного источника и всё равно сверяйте текст на экране подтверждения.
Некоторые биржи и сервисы требуют destination tag, memo или comment. Это дополнительный идентификатор получателя. Если сервис его требует, вставьте его точно; если поле необязательно, не добавляйте случайный текст. При сомнении сначала отправьте тестовую транзакцию и сохраните хэш.
Тестовый перевод
Первый перевод выполняйте небольшой суммой, достаточной для проверки маршрута, но не рассматривайте тест как доказательство безопасности приложения. Сначала скопируйте адрес назначения из официального интерфейса. Затем выберите сеть, проверьте актив, сумму, memo и комиссию. Прочитайте экран подтверждения целиком.
После отправки найдите транзакцию в обозревателе сети. Убедитесь, что сообщение дошло до правильного адреса, а актив отображается в нужном Jetton-контракте. Кастодиальный сервис может зачислять средства внутренней операцией, поэтому статус в блокчейне и статус аккаунта сервиса иногда различаются.
Не считайте перевод завершённым сразу после нажатия кнопки. При сложной операции могут появиться несколько сообщений. Сохраните хэш, время и сеть, чтобы поддержка могла проверить маршрут.
TON Connect и разрешения
TON Connect позволяет Mini App запросить подключение кошелька и подпись сообщения. Подключение не требует seed-фразы. Никто из представителей приложения не должен просить её для «активации», «верификации» или «возврата средств».
Перед подписью проверьте домен Mini App, адрес контракта, тип операции и список разрешений. Отмените запрос, если смысл операции неясен, приложение просит передать активы или разрешение действует дольше, чем необходимо. Одобрение контракта может дать ему возможность расходовать токены; закрытие вкладки не всегда отменяет такое разрешение.
После взаимодействия проверьте историю подписей и отзовите ненужные разрешения официальным инструментом. Не подписывайте сообщение только потому, что его показывает знакомый логотип или канал. Подлинность интерфейса и безопасность контракта — разные вопросы.
Фишинг и восстановление после компрометации
Типичные признаки фишинга: срочность, обещание бесплатных токенов, просьба раскрыть seed-фразу, домен с подменённым символом, неизвестный бот поддержки и требование сначала отправить актив для «разблокировки». Остановите действие, сохраните ссылку и переписку, не переходите по повторным сообщениям.
Если seed-фраза введена на сайте или отправлена человеку, считайте кошелёк скомпрометированным. С чистого устройства создайте новый кошелёк с новой фразой, проверьте его восстановление, затем переведите доступные активы. Сначала оставьте запас для комиссии и не взаимодействуйте с подозрительными токенами. Отзовите разрешения старого адреса, если это возможно, но отзыв не возвращает уже украденные средства.
Если скомпрометирован Telegram-аккаунт, завершите неизвестные сеансы, включите двухэтапную проверку и восстановите контроль над номером через оператора связи. Для кастодиального Wallet обратитесь в официальную поддержку и приложите хэши и время операций; не отправляйте seed-фразу даже сотруднику поддержки.
Ежедневная гигиена кошелька
Обновляйте приложения из официальных магазинов и проверяйте разрешения после обновления. Не устанавливайте расширения, которые обещают автоматическое восстановление или бесплатное получение токенов. Отдельно храните пароль устройства и seed-фразу: знание одного не должно раскрывать другое.
Для рабочих операций используйте разные кошельки. Один может служить для повседневных переводов, другой — для хранения, третий — для тестирования неизвестных приложений. Такая изоляция не устраняет риск ошибки, но уменьшает последствия вредоносного разрешения или поддельного сайта.
Если вы передаёте адрес публично, помните, что операции в блокчейне обычно видны в обозревателе. Не связывайте без необходимости адрес с личными данными и не публикуйте seed-фразу, резервные коды или скриншоты баланса.
Перед каждой операцией полезно остановиться и проверить четыре вещи: источник приложения, сеть, адрес получателя и смысл подписи. Если хотя бы один пункт вызывает сомнение, отмените действие и найдите документацию проекта заново через официальный домен.
Служба поддержки не попросит секретный ключ. Она может запросить публичный адрес, хэш операции, время и снимок сообщения об ошибке, но эти сведения не дают доступа к средствам. Отправляйте их только через официальный канал, указанный на сайте сервиса.
Проверяйте адрес сайта вручную, а не по ссылке из неожиданного сообщения.
Официальные источники
- Wallet
- Wallet Help
- TON Docs
- TON Connect
- Telegram Mini Apps
- Telegram: безопасность аккаунта
- Tonkeeper
- MyTonWallet
Функции кошельков, поддерживаемые сети и правила сервисов могут меняться. Перед операцией сверяйте адрес, сеть, memo, разрешения и текст подтверждения в официальном интерфейсе.