ГЛАВНАЯ / ИНСТРУКЦИИ / ОПАСНЫЙ QR-КОД WALLETCONNECT: ЧТО ПРОВЕРИТЬ ПЕРЕД ПОДКЛЮЧЕНИЕМ
Опасный QR-код WalletConnect: что проверить перед подключением
QR-код WalletConnect передаёт данные для создания связи между dApp и кошельком. Он не подтверждает безопасность сайта и не является приглашением сканировать картинку из чата. До одобрения нужно связать код с самостоятельно открытым dApp и прочитать предложение сессии в кошельке.
Сканирование начинает pairing, а решение принимает кошелёк
QR-код содержит URI WalletConnect, по которому кошелёк устанавливает связь и получает предложение сессии. В нём dApp запрашивает аккаунты, сети и методы взаимодействия. Пользователь может одобрить или отклонить предложение.
Само сканирование не должно считаться подтверждением безопасности. После подключения dApp может отправлять отдельные запросы подписи до завершения или истечения сессии. Каждый такой запрос нужно проверять заново.
QR должен появиться в действии, которое начали вы
Сначала самостоятельно откройте нужный dApp, проверьте домен и нажмите Connect wallet. Сканируйте только QR, который появился в этом сеансе. Картинка из личного сообщения, письма, комментария, объявления, экрана поддержки или обещания airdrop не связана с проверенным сайтом.
Не используйте QR, если вкладка была открыта по короткой ссылке или через поисковую рекламу без проверки домена. Обновите официальный сайт из закладки и создайте новый код. QR является временным транспортом данных, а не знаком одобрения WalletConnect.
- действие начато вами;
- домен открыт самостоятельно;
- QR показан текущей вкладкой;
- код не прислан поддержкой;
- кошелёк использует встроенный сканер.
Сверьте приложение, аккаунт, сети и методы
После сканирования кошелёк показывает предложение подключения. Сравните название и происхождение приложения с открытой вкладкой, выберите только нужный аккаунт и проверьте список сетей. Не разрешайте дополнительную сеть только потому, что она отмечена по умолчанию.
Методы определяют, какие запросы сможет отправлять dApp в рамках сессии. Интерфейсы переводят их по-разному, поэтому ориентируйтесь на смысл показанного разрешения. Если кошелёк не позволяет понять запрос или показывает неожиданное приложение, отклоните соединение.
| Поле | Что сверить | Причина отказа |
|---|---|---|
| Приложение | Открытый dApp | Неизвестное имя |
| Origin | Домен вкладки | Несовпадение |
| Account | Рабочий адрес | Лишний кошелёк |
| Chains | Нужные сети | Неожиданные сети |
| Methods | Ожидаемые действия | Непонятные права |
Статус проверки помогает, но не заменяет чтение
Кошелёк может получить от WalletConnect Verify статус соответствия домена и метаданных. VALID указывает на совпадение проверяемого происхождения, INVALID – на несоответствие, UNKNOWN – на отсутствие достаточного подтверждения. Отдельный сигнал isScam сообщает об известной угрозе.
Эта проверка не является безошибочной гарантией. Даже при положительном статусе сверяйте домен, аккаунт, сети и последующие подписи. При INVALID, предупреждении о мошенничестве или необъяснимом UNKNOWN безопаснее отклонить предложение и открыть dApp заново из доверенного источника.
Connect не одобряет будущую подпись автоматически
Подключение обычно открывает dApp публичный адрес и создаёт канал запросов. Approval токена, Permit, подпись сообщения и транзакция остаются отдельными действиями. Сверяйте сеть, контракт, spender, сумму, получателя и ожидаемые изменения баланса в каждом окне.
Если запрос возник сам, не соответствует нажатой кнопке или требует неограниченного доступа, отклоните его и завершите сессию. Не подписывайте сообщение для проверки кошелька по просьбе поддержки.
- запрос начат ожидаемой кнопкой;
- сеть совпадает;
- контракт известен;
- spender и сумма понятны;
- симуляция не показывает лишних списаний;
- blind signing не требуется без причины.
Отклоните предложение и удалите сессию
Если вы только отсканировали код и не одобрили предложение, отклоните его и удалите неизвестный pairing или сессию в кошельке. Если подключение уже одобрено, завершите его в кошельке и на dApp. Затем проверьте список активных соединений.
Disconnect прекращает канал WalletConnect, но не отзывает уже выданные onchain-разрешения и не отменяет подписанную транзакцию. После подписи проверьте историю, TXID и approvals в правильной сети. Опасные разрешения отзываются отдельной блокчейн-операцией через доверенный интерфейс.
Частые вопросы
Можно ли потерять средства от одного сканирования?
Сканирование создаёт pairing и предложение. Риск растёт после одобрения сессии и последующих подписей, поэтому непонятное предложение нужно сразу отклонить.
Статус VALID гарантирует безопасность?
Нет. Он помогает проверить происхождение, но не оценивает все действия контракта и не заменяет чтение запроса.
Что означает UNKNOWN?
Система не смогла подтвердить происхождение. Отклоните запрос, если домен и контекст нельзя независимо проверить.
Достаточно нажать Disconnect?
Это завершает связь с dApp, но не отзывает уже выданные разрешения токенов и не отменяет транзакции.
Почему после Connect появляется ещё одно окно?
DApp отправляет отдельный запрос подписи или транзакции. Его нужно оценивать как новое действие.
Чек-лист: опасный qr-код walletconnect: что проверить перед подключением
- dApp открыт самостоятельно;
- домен сверён;
- QR создан текущим сеансом;
- использован сканер кошелька;
- приложение совпадает;
- origin проверен;
- аккаунт выбран осознанно;
- сети ограничены;
- методы понятны;
- предупреждений нет;
- каждая подпись проверена отдельно;
- ненужная сессия удалена.
Материал подготовлен редакцией сайта и проверен 12 сентября 2026 года. Условия бирж, кошельков и блокчейн-сетей могут меняться. Перед операцией сверяйте данные в интерфейсе выбранного сервиса.