Web-кошелёк vs мобильное приложение: что на самом деле без KYC?

Фраза «без KYC» часто встречается в описаниях криптокошельков, но между web-кошельками и мобильными приложениями есть важные различия. Дело не только в формате: отличаются место хранения приватных ключей, поверхность атаки, сценарии подключения к DApp и условия, при которых вообще может появиться KYC.

В этой статье разберём различия на уровне архитектуры и поможем понять, какой вариант лучше подходит под твой сценарий: DeFi, хранение, свопы, бессрочники или повседневное управление криптой.

Сначала уточним: какой «web-кошелёк» действительно без KYC

Термин «web-кошелёк» в крипте используют по-разному, поэтому важно разделить несколько типов.

1. Браузерное расширение — например, OneKey или MetaMask. Такой кошелёк работает как extension в браузере, а приватные ключи зашифрованы и хранятся локально. Это некастодиальный формат, поэтому KYC обычно не нужен.

2. Веб-интерфейс кастодиального кошелька — например, «кошелёк» внутри централизованной биржи. Ты заходишь через сайт, но приватные ключи хранит платформа. У тебя есть доступ к аккаунту, а не прямой контроль над ключами. В таком случае KYC, как правило, обязателен.

3. Чисто вебовый некастодиальный кошелёк — например, локальный режим подписи в MyEtherWallet. Ключ создаётся и используется в браузере, не отправляется на сервер, поэтому KYC обычно не требуется. Но часто нужно вручную импортировать файл ключа или сид-фразу, а требования к личной безопасности выше.

В этой статье под «web-кошельком» в основном имеется в виду первый тип — браузерное расширение. Именно его мы сравниваем с мобильным приложением.

Главное различие: где хранится приватный ключ

И браузерное расширение, и мобильное приложение могут быть некастодиальными. В таком случае приватные ключи принадлежат тебе, а не платформе.

Разница в том, где именно они хранятся и какая среда используется для подписи транзакций.

У браузерного расширения ключи обычно зашифрованы и лежат в локальном хранилище браузера. Это удобно для работы с DApp на компьютере: подключил кошелёк, проверил подпись, отправил транзакцию.

У мобильного кошелька ключи хранятся внутри приложения на устройстве. Часто дополнительно используются системные механизмы защиты: пароль, биометрия, защищённое хранилище устройства.

Стандарты подписи вроде EIP-712 применимы в обоих случаях. Но в браузерных расширениях отображение подписей часто выглядит более подробным и прямым, потому что кошелёк работает в той же среде, что и DApp.

Когда включается KYC: формат кошелька не главный фактор

Распространённое заблуждение: «если кошелёк работает через web, значит могут попросить KYC». На практике логика другая.

Ключевой вопрос: есть ли посредник, который хранит твои активы от твоего имени?

Если кошелёк некастодиальный, разработчик предоставляет программный инструмент, но не держит твои средства. В такой модели он не выступает финансовым посредником и не обязан проводить KYC только из-за того, что ты используешь кошелёк.

Подход регуляторов в США, включая разъяснения FinCEN, также разделяет поставщиков некастодиального ПО и операторов денежных сервисов. Первые создают инструменты, вторые фактически контролируют средства пользователей.

В ЕС MiCA использует похожую рамку: поставщики некастодиальных кошельков не считаются поставщиками услуг с криптоактивами в том же смысле, что кастодиальные платформы, и не обязаны проводить KYC только из-за выпуска кошелька.

Иными словами: если кошелёк некастодиальный, он может быть без KYC как в виде браузерного расширения, так и в виде мобильного приложения.

Сравнение рисков безопасности

Основные риски браузерных кошельков

Браузер — более открытая среда, поэтому у extension-кошельков есть свои типичные угрозы.

Вредоносные DApp и фишинговые сайты. Они могут отправлять опасные запросы на подпись. Нужно внимательно читать, что именно ты подписываешь, особенно если речь идёт об approval, permit или доступе к активам.

Слишком широкие разрешения на токены. Например, бесконечный approval для ERC-20 токена. Полезно изучить, как работают разрешения и как их отзывать. Revoke.cash — хороший образовательный ресурс по этой теме.

Фальшивые расширения. Злоумышленники могут публиковать копии известных кошельков или вредоносные browser extensions. Устанавливать кошелёк нужно только из официального источника.

Основные риски мобильных кошельков

Мобильные кошельки часто лучше изолированы на уровне системы, но у них есть свои слабые места.

Потеря или кража телефона. Если у устройства слабый пароль или нет блокировки, злоумышленник может попытаться получить доступ к приложению.

Вредоносные приложения и буфер обмена. Некоторые приложения могут отслеживать скопированные адреса или пытаться подменять их. Особенно опасно копировать сид-фразу или приватный ключ.

Социальная инженерия. По данным исследований Chainalysis, атаки на мобильных пользователей часто строятся вокруг фейковой поддержки: тебя убеждают «подтвердить кошелёк», «восстановить доступ» или ввести сид-фразу на поддельном сайте.

В обоих форматах главная линия защиты — правильное хранение сид-фразы. Никогда не вводи её на сайтах, не отправляй в чатах и не сохраняй в облачных заметках.

Что выбрать для ончейн-трейдинга

Если ты активно пользуешься DeFi, DEX или торгуешь бессрочниками, формат кошелька лучше выбирать под конкретный рабочий процесс.

Браузерное расширение удобнее на компьютере. Большой экран, графики, таблицы, параметры ордера и комиссии видны лучше. Для сложных действий — например, настройки плеча, контроля маржи или работы с несколькими вкладками — desktop-сценарий обычно комфортнее.

Мобильное приложение лучше подходит для быстрого контроля позиций: посмотреть PnL, проверить цену, закрыть позицию, если рынок резко пошёл против тебя.

OneKey закрывает оба сценария: есть и браузерное расширение, и мобильное приложение. При этом кошелёк остаётся некастодиальным — приватные ключи хранятся локально у пользователя. Встроенный OneKey Perps позволяет работать с ончейн-рынками бессрочников без лишних переходов между разными сервисами.

Если у тебя есть крупные суммы или ты хочешь повысить уровень защиты, можно добавить аппаратный кошелёк OneKey как слой «холодной подписи». Повседневные действия выполняются через приложение или расширение, а более важные операции подтверждаются на аппаратном устройстве.

WalletConnect: мост между мобильным кошельком и web-DApp

WalletConnect — один из самых популярных способов подключить мобильный кошелёк к web-приложению.

Ты открываешь DApp в браузере, сканируешь QR-код телефоном, после чего между сайтом и кошельком создаётся зашифрованный канал. Запросы на подпись приходят в мобильное приложение, а приватный ключ не попадает в браузерную среду.

Такой подход объединяет плюсы двух форматов: удобный web-интерфейс на большом экране и подпись на мобильном устройстве.

Частые вопросы

Q1: Web-версия OneKey требует KYC?

Нет. OneKey Wallet, включая браузерное расширение и мобильное приложение, — некастодиальный кошелёк. Приватные ключи хранятся у пользователя, поэтому для использования кошелька не требуется проверка личности.

Q2: Если я установил и расширение, и мобильное приложение, какую сид-фразу использовать?

Можно использовать одну и ту же сид-фразу, чтобы оба клиента управляли одними и теми же адресами. Это удобно, но важно понимать: если одна среда будет скомпрометирована, под угрозой окажутся все связанные аккаунты. Для значимых сумм лучше использовать аппаратный кошелёк.

Q3: Может ли WalletConnect раскрыть приватный ключ?

Нет. Принцип WalletConnect в том, что приватный ключ не покидает кошелёк. DApp отправляет запрос на подпись, кошелёк подписывает его локально и возвращает только результат подписи.

Q4: Есть ли разница между расширением и мобильным кошельком при ERC-20 approval?

На уровне механики разницы нет: оба используют стандартную функцию Approve. Отличия в интерфейсе. Некоторые расширения, включая OneKey и Rabby, могут показывать больше деталей и подсвечивать риски перед подтверждением. В мобильных приложениях подсказки часто короче, поэтому пользователю нужно самому внимательнее смотреть на лимит разрешения.

Q5: Что лучше для новичка?

Мобильное приложение обычно проще: логика похожа на обычные приложения, вход по биометрии удобен, а интерфейс менее перегружен. Браузерное расширение требует чуть больше привычки, зато эффективнее для DeFi на компьютере.

Практичный вариант: начать с мобильного приложения OneKey, освоить базовые операции, а затем при необходимости установить браузерное расширение для работы с DApp и OneKey Perps на desktop.

Итог: формат — это инструмент, контроль — главная цель

И браузерный web-кошелёк, и мобильное приложение могут быть действительно без KYC, если они некастодиальные. Главное не то, где расположен интерфейс, а кто контролирует приватные ключи.

Если ты чаще работаешь с DeFi на компьютере, выбирай браузерное расширение. Если важна мобильность и быстрый доступ к позициям, удобнее приложение. Для активного ончейн-трейдинга можно использовать OneKey в обоих форматах, а OneKey Perps — как практичный рабочий инструмент для бессрочников внутри экосистемы кошелька.

Скачай OneKey с официального источника, выбери подходящий формат — мобильное приложение, расширение или связку с аппаратным кошельком — и попробуй OneKey Perps, если тебе нужен доступ к ончейн-бессрочникам без передачи приватных ключей кастодиану.

Риск-дисклеймер: этот материал носит информационный характер и не является финансовой, инвестиционной или юридической рекомендацией. Криптовалюты и ончейн-деривативы связаны с высоким риском, включая риск потери капитала. Перед использованием любых ончейн-сервисов оцени риски самостоятельно и принимай решения с учётом своей ситуации.