«Интегрируйте кошелек» — какой слой вы на самом деле продаете?
Одно сообщение Telegram с просьбой «интегрировать кошелек» может означать работу внешнего интерфейса, логику подписи или авторизацию контракта. Сначала нужно прочитать текст действия, а не слепо отправлять коммерческое предложение.
Вы уже называли такую цену.
Команда проекта спрашивает в групповом чате: «Можете ли вы интегрировать кошелек?» Вы отправляете обратно коммерческое предложение по фронтенд-интеграции. Через три дня они сообщают вам, что нашли кого-то другого — не из-за цены, а потому, что им на самом деле нужно было вовсе не «подключить кошелек». Это было «пользователи одобрили разрешение, не читая его, и нам нужно это исправить». Вы процитировали тот слой, который не причинил вреда.
Эта сцена не представляет собой единую закрытую сделку. Это закономерность, которую упоминают коллеги по продажам безопасности, когда напоминают друг другу, что слово «интеграция» означает разную работу для разных людей (иллюстративный составной сценарий, а не данные на уровне проекта).
Если бы вы получили это сообщение обратно, с чего бы вы начали читать?
Три действия, одно сообщение, три разных пути
Представьте, что вы видите это в технической дискуссионной группе проекта на Telegram:
Иллюстративное/составное групповое сообщение Telegram — @alex_build: Нашему децентрализованному приложению требуется интеграция с кошельком. Пользователи заходят через WalletConnect и подписывают транзакции. Нам также нужен запрос на подтверждение на стороне утверждения — кто-то утвердил без предварительной проверки разрешения. Команды, которые смогут закончить в течение двух недель, пишите нам в Директ. Бюджет по договоренности.
Три строки, три слова действия: connect (WalletConnect), sign (подпись транзакций), approve (запрос подтверждения + разрешение).
Это не три способа сказать одно и то же. Они указывают на разные технические уровни. Они соответствуют различным диапазонам коммерческих котировок. Они также сообщают вам, на каком этапе находится команда проекта. Вам не нужно обрабатывать все три самостоятельно. Вам нужно увидеть, что это не одно и то же.
«Подключиться» — точка входа, а не ответ
WalletConnect — это протокол с открытым исходным кодом, который устанавливает связь между телефонным кошельком и веб-приложением (децентрализованным приложением). Пользователь сканирует QR-код или нажимает на запрос авторизации на своем телефоне, и DApp может прочитать адрес кошелька и отправить запросы на транзакцию. Этот уровень не затрагивает смарт-контракты и ничего не записывает в цепочку. Это чистая фронтенд-интеграция.
Если вы видите «WalletConnect» и коммерческое предложение, это коммерческое предложение на работу с внешним интерфейсом. Но в этой показательной сцене самая насущная проблема команды проекта не в этом.
Ценность «подключения» не указана в коммерческом предложении. Это поможет вам оценить состав команды. Если ответ звучит так: «Наш фронтенд-специалист уже этим занимается», значит, кто-то занимается этим фрагментом — вы можете пропустить его и поговорить об остальном. Если ответ: «Мы пока никого не нашли, хотим решить все вместе», возможно, вы смотрите на команду без возможностей фронтенда. В этом случае им может быть не нужно в первую очередь решение по обеспечению безопасности — это может быть направление к тому, кто сможет создать этот уровень, или более четкое понимание того, действительно ли они сейчас ищут фронтенд-разработчика.
В этом сообщении «connect» является точкой входа. Не ответ.
«Подписать» — что видит пользователь, прежде чем нажать «Подтвердить»
Подписание — это криптографический акт одобрения транзакции с помощью закрытого ключа. Как только подписанная транзакция транслируется в цепочку, отменить ее практически невозможно.
Проблема в том, что видит пользователь в тот момент, когда нажимает «Подтвердить». Если DApp отправляет запрос на подпись в кошелек без анализа параметров, пользователь видит шестнадцатеричную строку, а не читаемую строку типа «Отправить 100 USDT на 0xABC». Нажатие «Подтвердить» на контенте, который вы не понимаете, является слепой подписью. Запрос на подпись законного DApp и вредоносный запрос фишингового сайта во всплывающем окне кошелька выглядят одинаково. Пользователь не может отличить их друг от друга.
Если вы последуете этому направлению, запись не будет переписывать код внешнего интерфейса. Это один вопрос, который вы можете задать в одном предложении: «Могут ли ваши пользователи видеть сумму и получателя, прежде чем они подтвердят?» Если они не могут ответить, вы решаете — входит ли это в работу по аудиту подписания, которую вы предлагаете?
«Одобрить» — дыра, в которую уже зашёл пользователь
Эта последняя строка — «кто-то утвердил без предварительной проверки размера пособия» — является частью сообщения, за которым стоит внимательно следить.
Утверждение — это механизм, при котором пользователь разрешает определенному адресу контракта перемещать токены из своего кошелька. Метод approve стандарта ERC-20 при вызове без ограничений — установленный на максимум uint256 — означает, что утвержденный контракт может истощить весь баланс токена за одну транзакцию. Многие известные случаи фишинга связаны именно с этим.
Команда проекта видит проблему. Вот почему они ищут исправление. Но «предупреждение о большом объеме», о котором они упоминают, — это копия внешнего интерфейса — красная строка текста, которая появляется, чтобы предупредить пользователя. Некоторые пользователи это заметят. Те, кто стал причиной первого инцидента, могут просмотреть его таким же образом.
Более тщательное исправление находится на уровне контракта: ограничьте размер разрешения до фактически необходимой суммы или используйте increaseAllowance / decreaseAllowance для его динамической корректировки. Более тонкий шаблон — это Permit EIP-2612 — одобрение вне сети, которое позволяет пользователю подписывать данные вне сети, и разрешение предоставляется без того, чтобы пользователь когда-либо видел транзакцию внутри сети.
В этом смоделированном сообщении самая насущная проблема проектной команды находится на уровне утверждения. Отзывы пользователей уже существуют. Проблема имеет конкретную форму. Это не «превентивное» требование — это требование с видимыми последствиями.
Два номера, которые вам нужны, прежде чем вы сделаете коммерческое предложение
Групповое сообщение дает вам направление. Это не дает вам основы для коммерческого предложения. На момент просмотра этого сообщения две важные части информации не удалось подтвердить только от группы.
Во-первых, что на самом деле означает здесь «большая сумма»? «Большая сумма» для обычной передачи токенов и «большая сумма» для межцепочного моста (протокола, который перемещает активы между разными блокчейнами) не отличаются в два раза. Они могут отличаться на два-три порядка. Вам нужно будет увидеть параметры контракта или, по крайней мере, знать тип токена и вариант использования, прежде чем вы сможете судить, что означает «высокий». Другая возможность: у команды проекта тоже нет четкой численности. Они получили отзывы пользователей, но еще не разбили их на количественный уровень.
Во-вторых, откуда взялся двухнедельный срок? Если это связано с обязательствами по дорожной карте, аудит безопасности может вообще не быть в этой версии контракта — они могут просто искать подрядчиков по интерфейсу. Если это связано с требованиями партнера, у этого партнера могут быть особые стандарты безопасности, которым вам необходимо соответствовать. Первый сценарий указывает на то, что ваши последующие действия направлены на «наименьшую проверку безопасности, которую мы можем провести в течение двухнедельного периода». Второй сценарий указывает на более полное предложение.
Групповой чат дает вам точку входа. Без этих двух цифр вы не сможете делать коммерческое предложение.
Вы уже знаете, что спросить в первую очередь
Посмотрите на сообщение еще раз. Отправитель сейчас не в сети. Вы не спешите с ответом.
То, что вы читаете, больше не является «запросом на интеграцию кошелька». «Коннект» расскажет вам об этапе команды. «Знак» указывает на «слепую зону» во взаимодействии с пользователем. «Одобрить» показывает дыру, в которую уже попал пользователь. Не обязательно охватывать все три сразу. Вы выбираете один слой и задаете первый вопрос.
В этой смоделированной сцене уровень утверждения является самой ясной отправной точкой, поскольку отзывы пользователей уже обсуждаются. Вы можете спросить: «Как вы сейчас устанавливаете надбавку за одобрение?» Если ответ «без ограничений — прямо к максимуму», это самый чистый сигнал, который вы можете получить. Если ответ «Я не уверен, какой шаблон мы используем», значит, в цепочке принятия решений кого-то не хватает — ваш первый шаг — подтвердить, кто этот контакт.
Вы также можете задать любой из двух других вопросов, в зависимости от того, в чем вы сильнее всего. «Могут ли пользователи видеть сумму до того, как подпишут?» открывает дверь проверки подписания. «Управляет ли ваш собственный интерфейс интеграцией WalletConnect?» помогает оценить укомплектованность команды.
Какой бы вопрос вы ни выбрали, цель не состоит в том, чтобы завершить все три уровня за один разговор. Это значит использовать первый ответ для определения направления. То, что они говорят в ответ, определяет, пойдете ли вы глубже на этот слой или перейдете на другой.
При повторном открытии сохраненного контекста этого сообщения вы видите, что отправитель на прошлой неделе спрашивал о тестировании контракта в соседней технической группе, а ссылка «одобрено без проверки» на этот раз является продолжением того же проекта кошелька. История и текущее сообщение идут рука об руку. Никаких раскопок не требуется.
Вы уже знаете, что спросить в первую очередь.
Обсуждения рынка и риска — это вспомогательные данные
Основная задача Top Prospect — поиск потенциальных клиентов в Telegram. Обсуждения рынка и риска могут дополнить контекст кандидата, но не становятся автоматически подтверждённым инцидентом, трендом или возможностью продажи.
