Контракт аккаунта
Ваш кошелёк — не внутренняя структура данных какого-то приложения. Это смарт-аккаунт Safe v1.4.1 — контракт, которым пользуются многие крупные казначейства в блокчейне, — развёрнутый точно в том виде, в каком его публикует Safe, без изменений.
На этом пути нет ничего нашего
Каждый контракт, который может коснуться ваших денег, написан Safe или авторами ERC-4337:
| Контракт | Роль в вашем кошельке | Автор |
|---|---|---|
| Safe v1.4.1 (SafeL2, через прокси) | Сам аккаунт: владельцы, порог, исполнение | Safe |
| Safe 4337 Module v0.3.0 | Позволяет EntryPoint управлять Safe; также служит его fallback handler | Safe |
| SafeWebAuthnSharedSigner v0.2.1 | Проверяет подписи P-256 первого ключа | Safe |
| SafeWebAuthnSignerFactory v0.2.1 и создаваемые ею подписанты | По небольшому контракту-подписанту на каждый дополнительный ключ | Safe |
| ERC-4337 EntryPoint v0.7 | Исполняет вашу подписанную операцию | Авторы ERC-4337 |
Собственных контрактов Vela в этом списке нет: это реестр публичных ключей, который записывает ключи каждого кошелька, чтобы новое устройство могло его найти (восстановление), сопутствующий ему реестр доменов и более ранний индекс, который они заменили. Средств они не хранят и никакой роли в вашем Safe не играют.
В репозитории кошелька нет ни строчки на Solidity — это можно проверить одной командой:
git clone https://github.com/mondaylabsltd/vela-wallet
find vela-wallet -name '*.sol' # ничего не выведетУ Vela нет привилегированной роли в вашем аккаунте: ни админского ключа, ни пути обновления, ни модуля, который она могла бы добавить. Изменить ваш Safe могут только ваши ключи.
Почему важно именно слово «немодифицированный»
Многие кошельки построены на «каком-то Safe», на форке Safe или на аккаунте, вдохновлённом Safe. Разница важна в трёх отношениях.
Аудиты относятся к тому, чем вы на самом деле пользуетесь. Аудиты Safe покрывают именно эти релизы или более ранние, от которых они отличаются лишь небольшими задокументированными изменениями (подробности — на странице аудитов). Аудиты форка покрывают код до форка; изменения — как раз та часть, которую никто не проверял.
Экосистема считает ваш аккаунт Safe, потому что он и есть Safe. Обозреватели
блоков его расшифровывают, а инструменты Safe могут его читать и собирать для него
транзакции. Но чтобы подписать эти транзакции, программа должна уметь запросить у
вашего ключа подпись для getvela.app — домена, к которому привязаны ваши passkey, —
поэтому собственное веб-приложение Safe, которое работает на другом домене, подписать
за вас не может. Что может, перечислено в руководстве по самостоятельному развёртыванию.
За этой поверхностью атаки следят многие. За самописным контрактом аккаунта следит в основном его автор. За основными контрактами Safe следят все, кто держит деньги в Safe; у модулей 4337 и passkey аудитория меньше, но она есть.
Чего это стоит
Стандартность не бесплатна:
- Газ. Ваша подпись проверяется в блокчейне, а транзакция проходит через EntryPoint. Простая отправка из уже развёрнутого кошелька Vela в наших замерах в Gnosis (сентябрь 2026 года) потребляла примерно 140 000–170 000 газа; обычный перевод ETH с обычного аккаунта — 21 000. Сверх газа релей берёт свою комиссию — см. сети и комиссии.
- Аккаунт нужно развернуть. Ваш адрес вычисляется через
CREATE2ещё до того, как что-либо появится в блокчейне, поэтому получать на него можно сразу; первая исходящая транзакция в каждой сети оплачивает развёртывание контракта. - Подходит не каждая сеть. Подписи passkey проверяются прекомпайлом EIP-7951 / RIP-7212, а его адрес входит в данные инициализации каждого кошелька, поэтому в сети без него Vela работать не может вовсе.
- Риск Safe теперь и ваш риск. Доверять широко используемому контракту — всё равно доверять контракту. Vela не добавила на пути к вашим деньгам второй, собственный контракт, которому вам пришлось бы доверять.
Что прошло аудит, а что нет
У контрактов Safe, его модулей 4337 и passkey и у EntryPoint v0.7 есть опубликованные сторонние аудиты. Собственный код Vela — приложения, бэкенд-сервисы и контракт-реестр — стороннего аудита не проходил, и он не запланирован; это цель на то время, когда у проекта появятся средства на аудит, а не обязательство с датой. Все контракты, их отчёты об аудите и проблемы, за которыми мы следим, перечислены в разделе Аудиты и известные проблемы.
Проверьте сами
Ваш аккаунт находится в блокчейне. Когда он будет развёрнут, откройте свой адрес в обозревателе блоков: это прокси Safe, реализация которого — каноническое развёртывание SafeL2 v1.4.1 от Safe, в любой сети.
Дальше: аудиты и известные проблемы.