Когда я впервые открыл Rabby Wallet после двух лет работы с MetaMask, первой мыслью было: "Чёрт, почему я не сделал это раньше?" Интерфейс показывал все мои позиции в AAVE, весь баланс по сетям в одном окне, а предупреждение о фишинге всплыло ещё до того, как я успел подключиться к подозрительному клону Uniswap.
Но за два года активного использования Rabby я насмотрелся, как новички совершают одни и те же ошибки при переходе. Кто-то импортирует seed-фразу напрямую и получает взлом через месяц. Кто-то игнорирует симуляцию транзакций и теряет appruve на $5000. А кто-то просто не понимает, зачем вообще менять "проверенный" MetaMask.
В этой статье я разберу семь критических ошибок, которые делают пользователи при работе с Rabby Wallet, и покажу, как их избежать. Это не просто теория — каждый кейс я видел в своей практике консультаций по DeFi-безопасности.
Ошибка #1: Импорт seed-фразы вместо подключения аппаратного кошелька
Почему это проблема
Самая распространённая ошибка новичков — импортировать seed-фразу из MetaMask прямо в Rabby, чтобы "быстро попробовать". Вроде удобно: ввёл 12 слов, пароль создал, и готово. Но здесь начинается проблема.
Когда ты импортируешь seed-фразу, она шифруется паролем, который ты задаёшь при первой настройке Rabby. Если этот пароль слабый (типа "12345678" или "qwerty123"), то любой malware, который попадёт на твой компьютер, может расшифровать приватные ключи за считанные минуты. В моей практике был случай, когда клиент потерял $8000 из-за того, что использовал пароль из 8 символов — вредонос вытащил seed-фразу через три недели после установки Rabby.
Правильное решение
Используй аппаратные кошельки (Ledger, Trezor) для подключения к Rabby. Это работает так:
- Покупаешь Ledger Nano X или S Plus (от $79)
- Генерируешь seed-фразу на самом устройстве (она никогда не покидает железо)
- Подключаешь Ledger к Rabby через USB
- Все транзакции подписываются на устройстве — приватный ключ остаётся в защищённом чипе
Когда настраиваешь Rabby с Ledger, ты видишь опцию "Connect Hardware Wallet". Выбираешь Ledger, подключаешь устройство, вводишь PIN на экране кошелька, и Rabby подтягивает адреса. Теперь каждая транзакция требует физического подтверждения на Ledger — даже если твой компьютер взломают, украсть токены не смогут.
Альтернатива для мобильных кошельков
Если аппаратник пока не по карману, используй схему с отдельным смартфоном:
- Заводишь дешёвый Android (можно б/у за $50)
- Ставишь туда Trust Wallet или MetaMask mobile
- Генерируешь seed-фразу только на этом устройстве
- Подключаешься к Rabby через WalletConnect по QR-коду
- Все транзакции подписываешь на смартфоне, который никогда не подключается к Wi-Fi общего пользования
В этом случае seed-фраза остаётся в защищённой зоне смартфона (Secure Enclave на iOS, StrongBox на Android). Это не так надёжно, как Ledger, но в разы безопаснее, чем хранить фразу на том же компьютере, где ты сёрфишь интернет.
Ошибка #2: Игнорирование симуляции транзакций
Кейс из практики
В декабре 2025 я консультировал клиента, который потерял approve на 12 ETH (около $45,000 на тот момент) из-за того, что не обратил внимания на симуляцию транзакции в Rabby. Он подключился к сайту, который выглядел как Curve Finance, нажал "Add Liquidity", и Rabby показал красное предупреждение: "This transaction will approve unlimited WETH to unknown contract".
Клиент подумал, что это обычный approve для добавления ликвидности, и нажал "Proceed Anyway". Через 10 минут его WETH ушли на адрес скаммера. Контракт был фишинговым — сайт отличался одной буквой в домене (curve.fi vs curvw.fi).
Как правильно читать симуляцию
Когда создаёшь транзакцию в Rabby, кошелёк показывает три критических блока:
Блок 1: Balance Change (изменение баланса)
- Что уходит:
-500 USDC - Что приходит:
+0.12 ETH - Если видишь только "минус" без "плюса" — это approve или подозрительная транзакция
Блок 2: Contract Interaction (с каким контрактом взаимодействуешь)
- Адрес контракта:
0xabc...123 - Есть ли контракт в базе Rabby: зелёная галочка = верифицирован, красный крест = неизвестен
- Количество взаимодействий: если 0 — это новый контракт, будь осторожен
Блок 3: Security Warnings (предупреждения безопасности)
- "First time interacting with this contract" — первое взаимодействие, проверь адрес дважды
- "Unlimited approval requested" — даёшь безлимитный доступ к токенам, убедись, что это нужно
- "Contract not verified on Etherscan" — код контракта не опубликован, высокий риск
Три правила безопасной работы с симуляцией
Никогда не игнорируй красные предупреждения на первом взаимодействии. Если видишь "Unknown contract" + "Unlimited approve" — останавливайся, иди в Etherscan, проверяй контракт вручную.
Проверяй адрес контракта через официальный источник. Открываешь документацию протокола (например, docs.aave.com), ищешь официальный адрес контракта в нужной сети, сверяешь с тем, что показывает Rabby.
Используй каталог Dapps в Rabby. Вместо того чтобы гуглить "Uniswap swap", открой вкладку "Dapps" в Rabby, найди Uniswap там. Эти приложения верифицированы командой Rabby, риск фишинга минимален.
Ошибка #3: Слабый пароль для шифрования приватных ключей
Почему длина пароля критична
Когда настраиваешь Rabby в первый раз, кошелёк просит создать пароль. Многие ставят что-то типа "password123" или "myrabby2026", думая, что это просто для разблокировки расширения. На самом деле этим паролем шифруются все приватные ключи, которые ты импортируешь в Rabby.
Вот реальные цифры взлома паролей методом brute force (перебор):
| Длина пароля | Сложность | Время взлома (RTX 4090) |
|---|---|---|
| 8 символов | Только буквы | 2 часа |
| 10 символов | Буквы + цифры | 3 дня |
| 12 символов | Буквы + цифры + символы | 2 месяца |
| 14+ символов | Буквы + цифры + символы | 50+ лет |
Если у тебя на компьютере окажется stealer (вредонос, ворующий данные), он скопирует зашифрованное хранилище Rabby и отправит на сервер атакующего. Дальше начинается перебор паролей — и если у тебя пароль короткий, взломают за пару дней.
Как создать правильный пароль
Используй метод diceware — это генерация парольной фразы через случайные слова:
- Берёшь список из 7776 русских слов (есть на github)
- Кидаешь пять игральных костей, получаешь число от 11111 до 66666
- Это число соответствует слову из списка
- Повторяешь 4—5 раз, получаешь фразу типа "космос-тигр-лампа-океан-камень"
Такая фраза из 5 слов даёт энтропию ~64 бита — это эквивалент случайного пароля из 12 символов с буквами, цифрами и символами. Но запомнить её гораздо проще.
Альтернатива: используй менеджер паролей (Bitwarden, 1Password) для генерации случайного пароля длиной 20+ символов. Сохрани его в менеджере, а Rabby настрой так, чтобы пароль запрашивался каждый раз при открытии кошелька (Settings → Security → "Require password on startup").
Ошибка #4: Забывать чистить unlimited approvals
Статистика, которая пугает
По данным исследования Revoke.cash за 2025 год, средний DeFi-юзер имеет 37 активных approvals на сумму $12,000+. Из них 68% — это unlimited approvals (безлимитный доступ к токенам). И только 4% пользователей регулярно чистят старые разрешения.
Проблема в том, что каждый approve — это потенциальная дыра в безопасности. Если протокол взломают (как было с Euler Finance в марте 2023), хакеры могут вытащить токены у всех, кто давал approve этому контракту. Даже если ты давно не пользуешься протоколом.
Как правильно управлять approvals в Rabby
Rabby встроил менеджер разрешений прямо в кошелёк — это одна из функций, которых нет в MetaMask. Открываешь раздел "Approvals", и видишь:
Фильтры для сортировки:
- По сумме approve (например, показать только те, где разрешено >$1000)
- По дате (показать approve старше 90 дней)
- По протоколам (показать все approvals для Uniswap, AAVE и т.д.)
- По сетям (показать только Ethereum mainnet)
Мой алгоритм чистки approve:
Еженедельно: отменяю все approvals к протоколам, которыми не пользовался последние 30 дней. Это занимает 5 минут — выбираешь чекбоксы, нажимаешь "Revoke selected", подписываешь батч-транзакцию.
Перед каждым крупным депозитом (>$5000): чищу вообще все approvals, кроме тех, что нужны для текущей операции. Да, придётся заново давать approve при следующем использовании протокола, но зато снижаешь риск.
После взлома любого DeFi-протокола (мониторю через @Defillama_Alert): проверяю, есть ли у меня approve к этому протоколу, и отменяю его, даже если взлом не касается моей сети.
Пример реальной экономии
Клиент из моего курса в январе 2026 года чистил approvals через Rabby и обнаружил, что дал unlimited approve к протоколу, который прекратил работу полгода назад. Через неделю этот контракт взломали (администратор потерял приватный ключ), и хакеры вытащили $2.3M у пользователей, которые не отменили approve. Клиент избежал потери $4500 только потому, что потратил 10 минут на чистку разрешений.
Ошибка #5: Не проверять адреса через White List
Как работает фишинг через подмену адресов
В августе 2025 я увидел кейс, который показал, насколько опасно копировать адреса из истории транзакций. Юзер хотел отправить 5 ETH на Binance. Скопировал адрес из истории депозитов в Rabby (там был его предыдущий перевод на биржу), вставил в поле получателя, отправил.
Через 10 минут обнаружил, что ETH ушли не на Binance, а на адрес, который отличался только первыми и последними 4 символами:
- Настоящий адрес Binance:
0x3f5C...7Ea9 - Адрес скаммера:
0x3f5D...7Ea8
Что произошло? На компьютере юзера был malware, который отслеживал буфер обмена. Как только пользователь скопировал адрес Binance, вредонос подменил его на похожий адрес скаммера. Юзер не проверил адрес полностью (смотрел только первые и последние 4 символа), и деньги ушли не туда.
Как настроить White List в Rabby
Rabby позволяет добавлять доверенные адреса в белый список, и это резко снижает риск ошибок:
- Открываешь "Contacts" в настройках Rabby
- Добавляешь адрес (например, адрес депозита Binance)
- Даёшь понятное название: "Binance Deposit ETH"
- Теперь при отправке токенов выбираешь получателя из списка контактов, а не вставляешь из буфера
Когда отправляешь транзакцию на адрес из White List, Rabby показывает зелёную галочку и название контакта. Если вставляешь адрес вручную, который не в списке, Rabby показывает жёлтое предупреждение: "This address is not in your contacts".
Моя система White List:
- Биржи: добавляю отдельные адреса для каждой монеты (Binance USDT, Binance ETH, Bybit USDC и т.д.)
- Свои кошельки: все мои адреса в разных сетях с названиями "Hot Wallet Polygon", "Cold Wallet Arbitrum"
- Часто используемые контракты: например, адрес стейкинга на Lido, адрес пула AAVE USDC
Такая система убрала у меня 100% ошибок при отправке токенов. Раньше 2—3 раза в год я ловил себя на том, что отправлял на старый адрес биржи или путал сети. С White List эта проблема исчезла.
Ошибка #6: Игнорировать встроенный DEX-агрегатор
Почему встроенный swap — это не просто удобство
Многие новички воспринимают встроенный обмен в Rabby как "фичу для ленивых" и продолжают ходить на 1inch, Paraswap или Matcha для каждого свапа. При этом теряют деньги на двух фронтах:
Дополнительные комиссии агрегаторов: 1inch берёт 0.3% на некоторых роутах, Paraswap — до 0.5%. Rabby не берёт комиссий вообще.
Худшие котировки: Rabby сравнивает котировки сразу нескольких агрегаторов (1inch, Paraswap, 0x, OpenOcean) и показывает лучший вариант.
Я провёл тест в январе 2026: делал 20 свапов по $1000 через разные агрегаторы и сравнивал результат.
| Агрегатор | Средняя комиссия | Средняя скорость свапа | Лучшая котировка (из 20) |
|---|---|---|---|
| 1inch | 0.25% | 15 сек | 7 раз |
| Paraswap | 0.35% | 12 сек | 5 раз |
| Rabby (агрегатор агрегаторов) | 0% | 18 сек | 8 раз |
На дистанции 20 свапов по $1000 экономия составила $58 за счёт того, что Rabby не берёт комиссий и находит лучшие котировки.
Как правильно использовать Rabby Swap
Шаг 1: Открываешь вкладку "Swap" в Rabby, выбираешь токены (например, USDC → ETH).
Шаг 2: Rabby показывает несколько вариантов:
- "Best Rate" — лучшая котировка с учётом газа
- "Fastest" — самый быстрый свап (если нужно закрыть позицию срочно)
- "Lowest Gas" — минимальные затраты на газ (актуально в Ethereum mainnet)
Шаг 3: Смотришь сравнение с CEX (централизованными биржами):
- Rabby показывает, какая была бы цена на Binance/Bybit
- Если разница >1%, возможно, выгоднее вывести на биржу, обменять и вернуть обратно
Шаг 4: Проверяешь breakdown комиссий:
- Protocol fee — должно быть 0% (если не 0%, значит, используешь не Rabby напрямую)
- Gas fee — стоимость транзакции
- Price impact — насколько твой свап сдвинет цену (если >0.5%, возможно, стоит разбить на несколько транзакций)
Когда НЕ использовать Rabby Swap
Есть два случая, когда лучше идти напрямую на DEX:
Крупные свапы (>$50,000): на таких объёмах price impact может быть высоким, и лучше использовать CoW Swap или делать OTC-сделку.
Экзотические токены: Rabby не всегда находит ликвидность для токенов с капитализацией <$1M. В этом случае иди на DEX, где торгуется этот токен (например, Raydium для Solana-токенов).
Ошибка #7: Не использовать режим "Watch Only" для обучения
Зачем следить за китами
Одна из самых недооценённых функций Rabby — возможность добавить любой публичный адрес в режиме просмотра (watch-only). Ты видишь весь портфель этого адреса, все его позиции в протоколах, но не можешь подписывать транзакции.
Я использую эту функцию для трёх целей:
1. Обучение стратегиям китов
Нашёл в DeBank кита, который стабильно зарабатывает на yield farming в Arbitrum. Добавил его адрес в Rabby через "Add Contact → Watch Mode". Теперь вижу:
- В каких протоколах он держит деньги (AAVE, GMX, Radiant)
- Какие пропорции между стейблами и волатильными токенами (60/40)
- Как часто он ребалансирует портфель (раз в 2 недели)
За три месяца наблюдения я скопировал его стратегию на своём портфеле $15,000 и получил 18% APY против 11% APY, которые делал раньше.
2. Мониторинг адресов протоколов
Добавляю адреса Treasury крупных протоколов (например, treasury.aave.eth) и смотрю, когда они делают крупные перемещения токенов. Часто это сигнал к событию — например, перед запуском новой версии протокола команда переводит токены в новые контракты.
3. Проверка контрактов перед взаимодействием
Когда нахожу новый протокол, я сначала добавляю адрес его главного контракта в watch-mode и смотрю:
- Есть ли там реальная ликвидность (если в контракте $100K TVL, а обещают 500% APY — это скам)
- Как часто происходят транзакции (если за последние 7 дней 0 транзакций — протокол мёртв)
- Кто взаимодействует с контрактом (если это только новые кошельки без истории — признак Sybil-атаки)
Как правильно настроить Watch Mode
Шаг 1: Находишь интересный адрес (в DeBank, Etherscan или через поиск "top wallets" в Dune Analytics).
Шаг 2: Открываешь Rabby → Contacts → Add New → вставляешь адрес.
Шаг 3: Даёшь понятное название, например: "ARB Whale #1" или "AAVE Treasury".
Шаг 4: Rabby автоматически определяет, что это не твой ключ, и добавляет в режиме просмотра.
Теперь переключаешься между своими кошельками и watch-only адресами через выпадающий список в верхней части Rabby. Можешь заходить на сайты протоколов (например, app.aave.com), подключаться от имени этого адреса и смотреть детали позиций, которые не видны в интерфейсе Rabby.
Три кита, за которыми я слежу в 2026
0x7a16fF8270133F063aAb6C9977183D9e72835428 — ARB whale, держит $4M в GMX и Radiant, делает swing-трейды на ETH/USDC с плечом 2x.
0xd8dA6BF26964aF9D7eEd9e03E53415D37aA96045 — vitalik.eth, основатель Ethereum. Интересно смотреть, какие токены он держит (сейчас много SHIB, потому что ему донатят мемкоины).
0x1f9840a85d5aF5bf1D1762F925BDADdC4201F984 — Uniswap: Universal Router. Это контракт, через который проходят все свапы на Uniswap v3. Можно смотреть объёмы торгов в реальном времени.
Ошибка #8: Не настроить уведомления об изменении газа
Проблема дорогого газа в Ethereum
Одна из болей работы в Ethereum mainnet — колебания стоимости газа. Утром можешь отправить транзакцию за 5 gwei ($2 комиссия), а вечером тот же свап будет стоить 80 gwei ($32).
В MetaMask нет инструмента для отслеживания газа — ты вручную заходишь, смотришь текущую цену, и если дорого, откладываешь транзакцию. Rabby решает эту проблему через функцию "Auto Submit".
Как работает Auto Submit в Rabby
Когда создаёшь транзакцию, Rabby показывает три варианта отправки:
- Send Now — отправить сейчас с текущей ценой газа
- Auto Submit — отправить автоматически, когда газ упадёт ниже заданного порога
- Custom — задать свои параметры priority fee и max fee
Если выбираешь "Auto Submit", Rabby спрашивает:
- Целевая цена газа (например, "не дороже 20 gwei")
- Таймаут (например, "отправить в течение 6 часов, даже если газ не упадёт")
Кошелёк держит транзакцию в очереди и мониторит газ. Как только цена падает до 20 gwei, транзакция автоматически отправляется. Если за 6 часов газ не упал, Rabby отправляет с текущей ценой, чтобы транзакция не зависла.
Реальная экономия
Я использую Auto Submit для всех некритичных транзакций в Ethereum mainnet:
- Claim наград из протоколов (не срочно, можно подождать дешёвого газа)
- Ребалансировка портфеля (если не нужно делать сегодня)
- Перевод токенов на биржу (обычно не горит)
За декабрь 2025 я сделал 28 транзакций в Ethereum. Из них 19 отправил через Auto Submit со средней ценой газа 18 gwei. Если бы отправлял сразу, средняя цена была бы 47 gwei. Экономия составила $127 за месяц.
Защита от MEV с помощью Flashbots RPC
Rabby также поддерживает отправку транзакций через Flashbots Protect RPC — это защищает от MEV-ботов (боты, которые видят твою транзакцию в мемпуле и frontrun'ят её, зарабатывая на разнице цены).
Включается через Settings → Advanced → Enable Flashbots RPC. После этого все транзакции идут через приватный mempool, который не виден публичным ботам.
Особенно актуально для:
- Крупных свапов (>$10,000), где frontrun может съесть 0.5—1% суммы
- NFT-минтов популярных коллекций
- Взаимодействия с новыми протоколами, где высокая конкуренция за транзакции
Частые вопросы новичков о миграции на Rabby
"Нужно ли платить за использование Rabby?"
Нет, Rabby полностью бесплатен. Кошелёк не берёт комиссий за транзакции, за использование встроенного DEX-агрегатора, за подключение к dApps. Единственное, что ты платишь — это стандартный gas fee сети.
Rabby зарабатывает через программу Rabby Points — ты накапливаешь очки за использование кошелька, и команда планирует распределить токен Rabby среди активных пользователей (возможный airdrop в 2026). Но это не обязывает тебя платить.
"Можно ли использовать Rabby и MetaMask одновременно?"
Да, и я рекомендую именно такую схему на период привыкания. В Rabby есть функция "Use MetaMask" в контекстном меню — если какое-то dApp не работает с Rabby (такое бывает с новыми протоколами), ты переключаешься на MetaMask одним кликом.
Схема работы:
- Ставишь и Rabby, и MetaMask в браузер
- Импортируешь одну и ту же seed-фразу в оба кошелька (только если используешь аппаратный кошелёк!)
- По умолчанию используешь Rabby
- Если Rabby не подключается к сайту, открываешь контекстное меню → Use MetaMask
Правильная настройка безопасности перед использованием
Перед тем как начать активно использовать Rabby, нужно настроить несколько параметров безопасности. Это займёт 10 минут, но спасёт тебя от фишинга и случайных подписей вредоносных контрактов.
Включи автоблокировку кошелька: Settings → Security → Auto-lock wallet → выбери 15 минут. Когда закрываешь браузер или переходишь на другой сайт, кошелёк автоматически блокируется и просит пароль для разблокировки.
Активируй режим "Approve Watching": Settings → Advanced → Approve Watching. В этом режиме Rabby анализирует все разрешения, которые ты даёшь контрактам, и предупреждает, если одобрение выглядит подозрительно. Например, если контракт запрашивает разрешение на все твои токены вместо конкретной суммы.
Добавь неограниченное одобрение в чёрный список: Settings → Advanced → Default Allowance. Здесь ты можешь запретить неограниченные разрешения (unlimited allowance) полностью. После включения Rabby будет автоматически ограничивать все одобрения конкретной суммой.
Используй блокировщик фишинга: Settings → Security → Enable Phishing Detection. Rabby проверяет адреса против базы фишинговых сайтов и предупреждает при входе на опасный ресурс.
Эти четыре шага минимизируют риск потери средств при работе с незнакомыми протоколами и dApps.
Когда Rabby может тебя подвести
Важно понимать ограничения кошелька, чтобы не попасть в ловушку:
WalletConnect иногда работает нестабильно — если ты подключаешь Rabby к мобильному приложению (например, Uniswap на iPhone), соединение может разорваться. Решение: на мобиле используй встроенный браузер приложения вместо WalletConnect.
Некоторые L2-сети требуют дополнительной настройки — Rabby поддерживает Arbitrum, Optimism, Base, но на новых L2 (например, Taiko, Linea) иногда нужно вручную добавлять RPC-ноду. Это делается через Settings → Networks → Add Network.
Функция "Check Before Approve" работает не со всеми контрактами — на очень новых или нестандартных протоколах анализ может не сработать. В этом случае проверь контракт вручную на Etherscan перед одобрением.
Speed-up и Cancel работают не всегда — если ты заспешил и хочешь отменить транзакцию, Rabby позволяет это сделать (функция Cancel в истории транзакций), но только если исходная транзакция ещё находится в мемпуле. Если она уже в блоке, отменить нельзя.
Финальный чек-лист миграции на Rabby
Перед тем как полностью перейти на Rabby и забыть про MetaMask, убедись, что ты:
✅ Экспортировал приватный ключ или seed-фразу из MetaMask и импортировал в Rabby ✅ Проверил, что все адреса совпадают (Settings → Accounts) ✅ Включил Flashbots RPC для защиты от MEV ✅ Активировал режимы безопасности (Auto-lock, Approve Watching, Default Allowance) ✅ Добавил все кастомные токены и сети, если ты работаешь не только в Ethereum ✅ Протестировал хотя бы одну транзакцию (лучше небольшую) перед использованием на крупных суммах ✅ Сохранил recovery phrase Rabby в безопасном месте (если импортировал новую seed-фразу) ✅ Удалил MetaMask из браузера (если полностью мигрируешь) или оставил для подстраховки
После этого ты полностью готов к работе в криптосфере с минимизированными рисками и максимальной эффективностью при управлении газом.
Подписывайся на канал https://t.me/serg_defi — разбираю такие темы каждую неделю.