Безопасность при работе с Hyperliquid

Безопасность начинается до сделки#

Чаще всего человек думает о риске как о движении цены. Но до рынка есть ещё риск потерять сам доступ: открыть подделку, установить вредоносное расширение, отдать seed-фразу или подписать разрешение, смысл которого не прочитан.

Разделяйте три контура:

1. Доступ. Email, устройство, кошелёк, seed-фраза.
2. Операция. Домен, сеть, адрес, содержание подписи.
3. Торговля. Размер, плечо, funding, ликвидация.

Сильный пароль не компенсирует ошибку сети, а правильный stop-loss не спасает приватный ключ, отправленный мошеннику.

Как проверить домен и не поверить копии#

Нажмите на адресную строку и прочитайте последнюю значимую часть домена. В app.hyperliquid.xyz домен — hyperliquid.xyz, а app — поддомен. Адрес hyperliquid.xyz.example.com принадлежит владельцу example.com, каким бы знакомым ни выглядело начало.

Остерегайтесь омоглифов — символов, похожих визуально. Латинская i, цифра 1 и некоторые буквы других алфавитов могут обмануть при беглом взгляде. Проверенная закладка снижает этот риск.

HTTPS нужен, но недостаточен: мошенник тоже может получить сертификат на свой домен. Сертификат подтверждает шифрование связи, а не честность владельца.

1. 01
   Откройте закладку

   Создайте её после перехода из официальной документации, а не из рекламного объявления.

2. 02
   Прочитайте домен

   Сверьте app.hyperliquid.xyz целиком и проверьте окончание.

3. 03
   Сверьте действие

   Вход, подпись и перевод должны соответствовать тому, что вы сами начали.

4. 04
   Остановитесь при несоответствии

   Не пытайтесь проверить подозрительный сайт вводом данных.

Seed-фраза, приватный ключ и пароли#

Seed-фраза восстанавливает кошелёк. Она не подтверждает личность для службы поддержки — она передаёт контроль. Храните её офлайн и не фотографируйте для облачной галереи. Приватный ключ имеет аналогичную критичность.

Пароль от расширения защищает конкретное устройство, но не заменяет seed-фразу и не отменяет её резервное хранение. Email-вход требует отдельной защиты почты: уникальный пароль, 2FA без SMS, если доступно, и проверка резервных каналов.

Никому не отправляйте:

• 12 или 24 слова восстановления;
• приватный ключ в любом формате;
• файл хранилища с паролем;
• коды 2FA и восстановления;
• экран удалённого доступа;
• API-ключ с правами, смысл которых не понятен.

Как читать подписи и разрешения#

Кошелёк может показывать подпись сообщения или транзакцию. Подпись сообщения часто не переводит средства напрямую, но может авторизовать важное действие. Транзакция способна переместить актив, выдать allowance контракту или вызвать функцию.

Перед подтверждением проверьте:

• какой домен инициировал запрос;
• какой аккаунт и сеть выбраны;
• кому выдаётся разрешение;
• ограничена ли сумма;
• соответствует ли действие тому, что вы нажали;
• нет ли неожиданного переключения сети.

Если интерфейс показывает непонятный hex без ясного контекста, не считайте это нормой только потому, что кнопка яркая. Отмена подписи ничего не стоит.

API-ключи относятся к отдельному уровню. Не вставляйте их в «калькулятор» или чат. Hyperliquid Guru не принимает API-ключи и получает только публичные рыночные данные через серверный endpoint.

Торговые, контрактные и инфраструктурные риски

#

Даже на правильном домене остаются риски:

• позиция с плечом может быть ликвидирована;
• funding способен увеличить расходы;
• смарт-контракт может содержать ошибку;
• сеть, валидаторы, API или интерфейс могут временно работать нестабильно;
• bridge добавляет свой контрактный риск;
• правила и доступность способны измениться.

Ончейн не означает «невозможно сломать», а большой объём не означает «невозможно потерять». Оценивайте не репутационный ярлык, а конкретный сценарий отказа.

Если что-то насторожило#

Если вы ещё ничего не подписали, закройте вкладку и откройте проверенную закладку с чистого окна. Проверьте установленные расширения и адрес, с которого пришло сообщение.

Если подозрительная подпись уже дана, не повторяйте её «для отмены». Отсоедините сайт, изучите активные разрешения через надёжный инструмент и при значимом риске обратитесь к специалисту с чистого устройства. Не пересылайте seed-фразу даже человеку, который обещает помочь.

Если средства ушли, сохраните адреса, хэш, время и переписку. Обратитесь в официальную поддержку и, если уместно, в правоохранительные органы или сервис, через который прошёл вывод. Возврат не гарантирован, но точные данные полезнее эмоционального описания.

Куда сообщить о проблеме#

• security@hyperliquid.guru — уязвимость или подделка нашего сайта;
• abuse@hyperliquid.guru — фишинг, злоупотребление названием или вредоносная копия;
• contact@hyperliquid.guru — ошибка в материале.

Приложите URL, описание, время и безопасный скриншот без секретов. По вопросам самого протокола используйте канал, на который ведёт официальная документация Hyperliquid. Не доверяйте аккаунту, который первым написал вам в личные сообщения.

Для проверки адресов откройте отдельную страницу официального сайта, а для последовательной диагностики — центр ошибок.