WalletConnect

В феврале я зашла на лендинг, который обещал поинты за тестовую сеть. Кнопка «Connect Wallet» открыла окно с квадратным QR-кодом, хотя на ноутбуке у меня не стояло ни одного расширения. Я достала телефон, открыла кошелёк, навела камеру — и через две секунды на экране ноутбука появился мой адрес. Это и есть WalletConnect: подпись ставит телефон, сайт видит только результат.

Зачем нужен мост

WalletConnect — открытый протокол, который соединяет сайт с кошельком на другом устройстве. Сайт не получает приватный ключ и не может подписать ничего сам: он отправляет запрос, кошелёк показывает его человеку, человек нажимает «Подтвердить».

Технически между ними стоит релей-сервер. Обе стороны держат соединение и обмениваются зашифрованными сообщениями, ключ сессии есть только у кошелька и у сайта. В QR-коде лежит не ключ, а идентификатор сессии и адрес релея, поэтому сфотографировать чужой QR и «забрать» кошелёк нельзя.

Как проходит подключение

1. Нажимаете Connect Wallet и выбираете WalletConnect.
2. Появляется QR. Сканируете камерой или жмёте «WalletConnect» внутри приложения кошелька.
3. Кошелёк спрашивает разрешение: показать адрес, предложить подписи. Вы подтверждаете.
4. Сайт получает адрес и сеть. Всё, подключение закончилось, деньги никуда не двигались.

В мобильном браузере QR не нужен: ссылка открывает приложение напрямую, вы возвращаетесь на сайт уже подключёнными.

Подключение — это не доступ к деньгам

Само соединение не даёт списать баланс. Списать может approve — разрешение контракту тратить ваш токен. Если вы подписали approve на всю сумму без ограничения, отозвать его можно вручную: в обозревателе блокчейна или через revoke-сервис. WalletConnect тут ни при чём, он только передаёт запросы.

Отсюда главное правило: подписано — значит вами. Кошелёк может показать непонятную строку, но кнопку нажимаете вы.

Где ошибаются

• Сканируют QR с фишингового сайта. Смотрите на домен в окне кошелька, а не на заголовок страницы: подделки копируют дизайн, но не адрес.
• Подписывают «сообщение» не читая. Подпись бывает и разрешением на списание — особенно в схемах с permit.
• Оставляют сессии висеть годами. В кошельке есть список подключённых приложений, я чищу его раз в месяц.
• Думают, что отключение сессии отменяет approve. Не отменяет: это два разных разрешения.

Чем отличается от расширения

Браузерный кошелёк вроде MetaMask вставляет в страницу свой объект, и сайт общается с ним напрямую. WalletConnect нужен, когда кошелёк на другом устройстве: мобильный, аппаратный или когда расширения ставить не хочется. Команда проекта с 2024 года продвигает его под брендом Reown, сам протокол от этого не изменился.

Коротко

• WalletConnect — мост между сайтом и кошельком на другом устройстве.
• Ключи не уходят: сайт видит адрес, подписи ставите вы.
• В QR-коде идентификатор сессии, а не приватный ключ.
• Подключение не даёт тратить деньги, approve — даёт.
• Отключить сессию и отозвать approve — два разных действия.