Приватность WalletConnect: какие аккаунты видит приложение

Приложение WalletConnect может получить аккаунты и сведения о сетях, согласованные для его сессии. Все адреса из сид-фразы автоматически ему не передаются. Проверяйте установленную сессию: в ней могут быть дополнительные аккаунты и сети помимо текущего экрана сайта. Приватность подключения также зависит от кошелька, приложения и используемой инфраструктуры.

Смотрите согласованный набор, а не одну кнопку подключения

Спецификация namespaces WalletConnect разделяет запрос приложения и одобренные кошельком полномочия. В предложении перечисляются обязательные и дополнительные разрешения. В установленной сессии указаны согласованные аккаунты, методы, сети и события. Поэтому надпись «Подключено» не является полным перечнем переданных сведений. Для оценки раскрытия нужны конкретные данные этого соединения.

Выбранный аккаунт на странице приложения может быть лишь активным представлением, а не всем списком сессии. Если кошелёк показывает подробности подключённого сайта, изучите их. Если область подключения не видна, обратитесь к текущей документации приложения. Не предполагайте, что переключение вкладки само удаляет из согласованного набора все ранее раскрытые аккаунты и связанные сведения.

Сеть входит в идентификатор аккаунта

CAIP-10 задаёт идентификатор через контекст блокчейна и адрес. Это важно для похожих строк на разных сетях. Передача одного EVM-адреса в двух сетевых контекстах позволяет приложению видеть их в согласованной сессии. Она не означает одинаковый баланс или одинаковые активы. Идентичность строки и содержимое счёта — разные вопросы.

Вымышленный пользователь одобрил аккаунт Cedar на двух сетях и аккаунт Maple на третьей. Приложение может получить эти идентификаторы, хотя на главной странице первоначально показан только Cedar первой сети. По снимку главной страницы нельзя установить, что Maple вообще не раскрывался. Нужны согласованная область сессии и сведения о том, что фактически отправил кошелёк.

Обратный вывод тоже неверен: нельзя считать переданными все остальные аккаунты кошелька. Namespace сессии не является полным списком адресов, выводимых из сид-фразы. Оценивайте конкретные согласованные записи. Реализация кошелька и дальнейшие обновления сессии требуют отдельной проверки, но текущий активный аккаунт интерфейса сам по себе не заменяет этих сведений.

Шифрование канала не описывает все потоки данных

Спецификация pairing описывает шифрованный канал между участниками. Затем протокол предложения сессии устанавливает Sign-соединение и передаёт его namespace и метаданные сторон. Это не означает, что одобренное приложение не может читать информацию об аккаунтах, которую ему намеренно передали. Получатель этих данных отличается от посредника доставки.

Разделяйте роли кошелька, приложения и размещённой инфраструктуры. В политике приватности Reown для облачных компонентов описаны категории, которые могут включать IP, адрес кошелька, зашифрованную нагрузку и метаданные протокола. Это заявленная область политики, а не независимый анализ трафика и не доказательство, что любая интеграция собирает каждую перечисленную категорию.

Та же политика отдельно указывает собственные правила сторонних сервисов. У кошелька и приложения их нужно читать самостоятельно. Свойство шифрования транспорта не объясняет целиком аналитику аккаунтов, браузерные сессии и хранение на конечной стороне. Из него нельзя выводить обещание, что посещение невозможно связать с адресом. Проверка должна учитывать конкретную услугу и участвующую организацию.

QR подключения — материал соединения

В формате pairing URI есть симметричный ключ шифрования pairing. Поэтому QR либо строка подключения не равнозначны обычному публичному адресу получения средств. Не выкладывайте действующую строку в общий чат поддержки и не передавайте незнакомцу ради диагностики. Назначение содержимого важнее внешнего вида кода и удобства копирования.

Сид-фраза — отдельная, ещё более чувствительная категория. Подключение WalletConnect не требует отправить её приложению. Если сайт называет это проверкой приватности или исправлением сессии, остановитесь. Для обращения начните с версии кошелька, сети, домена, времени и описания ошибки. На снимке уберите секреты соединения: публичного объяснения проблемы не должно хватать для использования чужого подключения.

Учитывайте обновления и смысл отключения

Справочник событий сессии описывает обновления, удаление, истечение срока и смену аккаунтов. Жизненный цикл может продолжаться после первого согласия. После значимого изменения просматривайте текущие полномочия подключённого приложения. Не считайте первый экран постоянным описанием всех последующих взаимодействий и не заменяйте актуальные сведения старым снимком первоначального запроса.

Отключение завершает соединение по правилам кошелька, но не доказывает удаление адресов, уже полученных приложением. Оно также не меняет публичную историю блокчейна этих адресов. Вопросы хранения уточняйте через опубликованные настройки или контакт приватности соответствующего сервиса. Одна кнопка подключения не должна восприниматься как инструмент стирания ранее раскрытого контекста.

Отдельно существуют полномочия в блокчейне. Разрешение расходовать токен не исчезает автоматически при завершении коммуникационной сессии. Это важно для безопасности, но не отменяет вопрос приватности: даже без расходного разрешения приложение уже могло получить согласованный список аккаунтов. Сначала установите факт раскрытия, затем отдельно оценивайте действия, которые могли быть авторизованы.

Практическая проверка раскрытых аккаунтов

1. Откройте подключение с доверенного домена и до одобрения проверьте активный аккаунт кошелька.
2. Прочитайте запрошенные сети и методы. Если доступен выбор аккаунтов, согласуйте необходимые для намеренного действия.
3. После подключения просмотрите установленную сессию или подробности сайта в кошельке. Не ограничивайтесь текущим экраном приложения.
4. Сопоставьте согласованные адреса с уже опубликованными связями. Отличайте установленное раскрытие от догадок обо всех аккаунтах сид-фразы.
5. Проверьте политики кошелька, инфраструктуры и приложения применительно к их услугам. Одна политика не заменяет остальные.
6. После работы отключитесь поддерживаемым способом и отдельно проверьте выданные в блокчейне разрешения.

Если интерфейс не показывает область подключения, задайте точный вопрос: какие аккаунты и сети входят в эту сессию? Для ответа не нужно отправлять полный экспорт сессии или сид-фразу в общий чат. Когда различие важно для собственных записей, сохраните локальную заметку о приложении и согласованной области, не добавляя к ней чувствительные ключи соединения.

Для отдельной проверки после разрешения расходования есть разбор отзыва полномочий токенов. Обмен без регистрации — другой процесс, который оценивается по собственным инструкциям и AML-политике. Этот материал не утверждает, что KOT.CASH требует WalletConnect, использует описанную инфраструктуру либо гарантирует определённый объём раскрытия адресов при чужом подключении.