---
title: "Абстракция аккаунта против EOA: почему это важно"
description: "Потеряли карту? Позвоните в банк. Потеряли приватный ключ? Средства утрачены навсегда. Абстракция аккаунта устраняет этот разрыв — ценой компромиссов и новых векторов атак."
language: ru
published: 2026-06-02
author: Netts
topic: "Insights"
canonical: https://netts.io/blog/account-abstraction-vs-eoas-why-you-should-care?lang=ru
languages: [en, ru, es, zh, th, fr, uk, tr, hi, fa, ar, ha, pt, vi, ko, ja, id, de, tl]
translation_outdated: false
---
# Абстракция аккаунта против EOA: почему это важно

Потеряли карту? Позвоните в банк. Потеряли приватный ключ? Средства утрачены навсегда. Абстракция аккаунта устраняет этот разрыв — ценой компромиссов и новых векторов атак.

Представьте человека, который всю жизнь пользовался только традиционной банковской системой. Он решает все финансовые вопросы через мобильное приложение и никогда не задумывался, что происходит при сбоях, ведь ответ известен наизусть: если что-то пошло не так — звони в банк. Потеряли карту в поездке? Новую доставят прямо в отель. Забыли PIN-код? Звонок для верификации, новый PIN — и всё решено за считанные минуты. Баланс всегда можно восстановить, потому что банк как хранитель записей полностью всё контролирует.

Теперь приведите этого человека в мир криптовалют и дайте ему некастодиальный кошелек — на этом привычная логика рушится. Здесь нет номера службы поддержки. Нет доверенного хранителя. В обычном внешне управляемом аккаунте (Externally Owned Account, или EOA) кошелек контролируется криптографическим приватным ключом. В интерфейсе он обычно представлен сид-фразой — набором из 12 или 24 слов, создаваемым при генерации кошелька. Если эти слова потеряны, уничтожены или просто забыты, средства исчезают. Они не просто заблокированы. Их невозможно вернуть через тикет в поддержку. Они утрачены навсегда. Не существует никаких процедур эскалации проблемы, поскольку нет структуры, которая могла бы этим заняться. Ключ — это и есть аккаунт. Аккаунт — это и есть ключ.

И это не гипотетический сценарий. Это фундаментальная реальность того, как работает большинство некастодиальных криптокошельков. Именно для решения этой проблемы и была создана абстракция аккаунта — правда, ценой появления совершенно нового класса рисков, о которых должен знать каждый информированный пользователь.

## Как устроены EOA и почему сид-фраза критически важна

Если рассматривать самую базовую форму криптоаккаунта, то это Externally Owned Account (EOA). Приватный ключ порождает публичный ключ, а его хеш образует адрес кошелька. Приватный ключ — это и есть аккаунт, и любой, кто им владеет, получает полный контроль над средствами. Никакой многофакторной аутентификации, никаких способов восстановления, никаких встроенных в протокол резервных копий. Программное обеспечение кошелька лишь берет на себя управление ключом и предоставляет удобный интерфейс, но базовая архитектура неизменна: вы единолично владеете этим уровнем аккаунта.

![Абстракция аккаунта против EOA: почему это важно](https://netts.io/blog/images/body/7aad6f4012a328d91975c56b1157304535a95860-428.webp)

Это наглядно видно при настройке главного кошелька в сети TRON — TronLink. При создании нового кошелька приложение генерирует сид-фразу из 12 слов и сразу же требует от пользователя записать её, пройти проверку и сохранить в надежном месте. Предупреждения предельно ясны: если эта фраза будет утеряна, TronLink ничем не сможет помочь восстановить доступ. Некуда позвонить, нет формы восстановления доступа и нет технических специалистов, способных вернуть кошелек после утраты сид-фразы. Это не ограничение TronLink как приложения — такова сама модель аккаунтов TRON. Как и Ethereum, сеть TRON опирается на внешне управляемые аккаунты, где полный контроль над средствами гарантируется исключительно наличием приватного ключа.

Мнемоническая фраза выступает мастер-ключом для вашего приватного ключа. Она была задумана как чуть более удобный для человека формат, чем произвольная строка криптографических данных. Однако «чуть проще запомнить» не означает «трудно потерять». История потерь в криптоиндустрии переполнена примерами таких сбоев: фразы, записанные на стикерах и выброшенные в мусор, скриншоты во взломанных облачных хранилищах, сгоревшие при пожаре аппаратные кошельки (без резервных копий). По оценкам Chainalysis, от 17% до 23% всех добытых биткоинов утеряно навсегда — и в основном из-за потери ключей, а не краж. И эта цифра не снижается.

Безопасность EOA столь же бескомпромиссна, сколь и надежна. Ни одна третья сторона не может отменить транзакцию или разрешить восстановление. Именно эта неизменяемость делает блокчейн надежным расчетным уровнем. Однако для каждого пользователя стандартного некастодиального кошелька это означает, что он находится всего в одном забытом слове, одном аппаратном сбое или одной успешной фишинговой атаке от полной и безвозвратной потери средств.

## Врожденные ограничения абстракции аккаунта и управление публичными ключами

Абстракция аккаунта — это комплекс обновлений, заменяющий жесткую модель приватных ключей программируемой логикой аккаунта. В этой парадигме аккаунт становится смарт-контрактом, способным реализовать гибкие правила: кто может подтверждать транзакции, как происходит восстановление, какие условия должны выполниться для перевода средств и даже кто оплачивает газ.

![Абстракция аккаунта против EOA: почему это важно](https://netts.io/blog/images/body/85683b220004489556ad61b877fe75b7551e2711-872.webp)

В 2021 году был предложен стандарт ERC-4337, а в марте 2023 года он был развернут в основной сети. Он позволил реализовать абстракцию аккаунта на базе Ethereum без необходимости вносить изменения в сам протокол или базовый блокчейн. Стандарт вводит новый тип транзакций — UserOperation, отдельный мемпул, где эти операции ожидают обработки, а также две ключевые роли: бандлеры (Bundlers), которые собирают и отправляют UserOperations от имени пользователя, и пеймастеры (Paymasters), способные спонсировать газ, избавляя пользователя от необходимости держать нативный токен. Аккаунт больше не привязан исключительно к паре ключей — теперь это смарт-контракт с программируемой валидацией.

Это открывает колоссальные возможности. Например, смарт-аккаунт может требовать две из трех подписей для крупного вывода средств. Можно назначить доверенных хранителей (guardians) — близких людей или другие кошельки, которые совместными подписями могут сменить ключ в случае потери исходного. Поддерживаются технологии passkey, биометрия (или вход по электронной почте для менее опытных пользователей), лимиты на расходы, а также оплата газа в USDT без необходимости держать ETH. Именно этот подход использовала биржа Coinbase, запустив Smart Wallet в восьми крупных сетях: вход по passkey без сид-фраз и создание кошелька за пару секунд прямо из любого приложения.

Следующим шагом станет обновление Ethereum Pectra в мае 2025 года с включением EIP-7702. Вместо вынужденного перехода на новый контрактный кошелек пользователи существующих EOA смогут временно делегировать логику аккаунта смарт-контракту на время исполнения одной транзакции. Это позволит пользователям MetaMask использовать возможности смарт-кошельков — пакетные транзакции, спонсируемый газ, сессионные ключи — без смены адреса и перевода средств на новый аккаунт.

![Абстракция аккаунта против EOA: почему это важно](https://netts.io/blog/images/body/0a3791f7489f7575332beec42c114465667ce0f0-934.webp)

Но все эти удобства имеют свою цену. Платить приходится усложнением архитектуры, а с ростом сложности неизбежно расширяется поверхность атак.

Главный нетехнический компромисс — утрата истинной анонимности. EOA — это просто длинная шестнадцатеричная строка, определяемая приватным ключом. Смарт-аккаунты чаще всего требуют привязки к внешним идентификаторам: email для восстановления, телефон для аутентификации или список кошельков-хранителей, также связанных с реальными личностями. Так, Smart Wallet от Coinbase опирается на passkey с биометрией устройства, привязывая аккаунт к конкретному «железу». Кошелек Argent в сети Starknet идет еще дальше: он позволяет восстанавливать доступ по email и телефону, но устанавливает суточные лимиты на переводы (для превышения которых требуется одобрение хранителей) — во многом напоминая традиционный банковский счет со схожими рисками приватности.

Проблема доверенных лиц также актуальна. В схемах социального восстановления доверенные люди или организации подтверждают смену ключа при утрате доступа. Но эта модель работает лишь до тех пор, пока хранители действуют добросовестно. Если их взломают, заставят отключиться от сети или они просто откажутся сотрудничать, восстановление сорвется. Опытный злоумышленник, зная о крупном балансе жертвы, с большей вероятностью атакует назначенных хранителей, чем сам ключ подписи.

## Текущий ландшафт: кто что использует и почему

Сравнивая практическое применение этих моделей, можно заметить, как по-разному они привлекают разные категории пользователей. Проекты на рынке наглядно иллюстрируют это разделение.

![Абстракция аккаунта против EOA: почему это важно](https://netts.io/blog/images/body/77dfcd8cab07912e23c38f794d7a1d4a547219a2-933.webp)

Safe (ранее Gnosis Safe) — это де-факто стандарт мультиподписного смарт-кошелька для институционалов и казначейств проектов. Для проведения транзакции требуется заданный порог подписей (например, 3 из 5), что защищает средства при компрометации одного ключа. Safe удерживает наибольший показатель TVL среди ончейн-смарт-кошельков в экосистеме. Технологии Safe служат базовым уровнем аккаунтов для World App от Worldcoin, обслуживающего десятки миллионов пользователей по всему миру. Инфраструктуру Safe активно выбирают для управления токенизированными активами благодаря проверенной мультисиг-защите и безупречной истории аудитов.

Argent, работающий нативно в Starknet (где все аккаунты изначально являются смарт-контрактами), предлагает суточные лимиты, социальное восстановление через хранителей и авторизацию по email или телефону. Пожалуй, это ближайший аналог привычного банковского интерфейса в некастодиальной среде. Argent выбирают те, кто хочет полностью владеть активами, но не готов брать на себя ответственность за хранение сид-фразы. В отличие от схемы мультиподписи в Safe, здесь защита строится иначе: система хранителей блокирует несанкционированную смену ключей, а любые подозрительные действия замораживаются по таймлоку, давая владельцу время оспорить нелегитимные операции до их исполнения.

Coinbase Smart Wallet решает проблему онбординга максимально прямолинейно. Никаких сид-фраз: аккаунт создается за секунды с помощью passkey. Работая в сетях Base, Ethereum и других EVM-сетях со встроенным спонсированием газа, кошелек позволяет пользователю dApp на базе инфраструктуры Coinbase даже не сталкиваться с понятием комиссий сети. В экосистеме стандарта ERC-4337 уже создано свыше 40 миллионов смарт-аккаунтов и обработано более 100 миллионов операций UserOperation.

MetaMask по-прежнему доминирует в сегменте кошельков Ethereum, но в своей основе он остается EOA-кошельком. Его пользовательская база огромна и сформирована давно: перевод всех пользователей на модель смарт-аккаунтов потребовал бы миграции средств, смены привычных интерфейсов и масштабного обучения, что невозможно сделать в одночасье. Интеграция смарт-аккаунтов в MetaMask в 2025 году на базе EIP-7702 предлагает прагматичный компромисс: EOA смогут использовать функционал смарт-аккаунтов для отдельных транзакций без переноса средств на новый адрес.

![Абстракция аккаунта против EOA: почему это важно](https://netts.io/blog/images/body/d9356b9d32bbea1cc0c1c00de03d7b5f87e3265b-1440.webp)

Напротив, ситуация с TronLink и экосистемой TRON выглядит куда более консервативно. Поскольку кошельки TronLink представляют собой стандартные EOA, они строго следуют классической модели: никто, включая самого пользователя, не сможет восстановить доступ без сид-фразы и приватного ключа. Именно поэтому при настройке TronLink постоянно подчеркивается: потеря сид-фразы ведет к 100% безвозвратной утрате кошелька, никаких запасных вариантов нет.

## История: истоки каждой модели

Исторически модель EOA существует столько же, сколько сам Bitcoin. Когда Сатоши Накамото опубликовал whitepaper Биткоина в 2008 году, в основу была заложена связка публичного и приватного ключей: кто владеет приватным ключом, тот и распоряжается средствами. Ethereum пошел по тому же пути при запуске в 2015 году, оставив EOA базовым типом пользовательского аккаунта.

Ограничения этой схемы разработчики Ethereum осознали практически сразу. Еще в 2015 году Виталик Бутерин с коллегами указывали на чрезмерную хрупкость модели с единственным ключом и начали обсуждать абстракцию аккаунта. И хотя аккаунтами, стоящими за ранними смарт-контрактами, оставались EOA, мультисиг-кошельки вроде Gnosis Safe (запущенного в 2017 году) уже тогда реализовали схожую логику, требуя нескольких подписей для подтверждения транзакций. Однако стандартизация полноценной протокольной абстракции аккаунта буксовала, поскольку требовала консенсуса по изменению базовой обработки транзакций.

После череды неудачных предложений на уровне протокола появился стандарт ERC-4337 как прикладное решение на уровне приложений. Не меняя правила обработки транзакций самого Ethereum, он надстроил инфраструктуру поверх отдельного мемпула, единого контракта EntryPoint, архитектуры бандлеров и пеймастеров — позволив использовать смарт-аккаунты без спорных хардфорков. Стандарт был формализован в 2021 году Виталиком Бутериным, Йоавом Вайсом, Дрором Тирошем, Шахафом Наксоном, Алексом Форштатом, Кристофом Гажо и Тьяденом Хессом, а в марте 2023 года состоялся его запуск в основной сети.

## Уязвимости: реальные схемы атак

Обе модели подвергаются реальным атакам, но векторы нападения у них принципиально различаются.

![Абстракция аккаунта против EOA: почему это важно](https://netts.io/blog/images/body/b094e4cc97faf597b7e907f859d791cc175f3367-925.webp)

В случае с EOA схема предельно прямолинейна: получил приватный ключ — завладел кошельком. Доминирует фишинг: поддельные страницы кошельков, вредоносные расширения для браузера, фальшивая техподдержка с просьбой «верифицировать» сид-фразу или скам-раздачи токенов. Вредоносное ПО работает еще незаметнее: инфостилеры сканируют файловую систему зараженного устройства в поисках сохраненных сид-фраз и опустошают балансы до того, как пользователь поймет, в чем дело. В ходе одной из задокументированных кампаний вредоносное ПО распространялось под видом инвестиционной ссылки, похищая сид-фразы и бэкапы двухфакторной аутентификации. В итоге у десятков жертв было украдено более $432 000, часть из которых удалось вернуть лишь благодаря вмешательству правоохранительных органов и бирж.

Масштабы впечатляют. По данным CertiK, только за первую половину 2025 года в результате 34 инцидентов с компрометацией кошельков было украдено $1,71 млрд. В феврале 2025 года произошел взлом биржи Bybit — крупнейшая кража в истории криптоиндустрии: северокорейская группировка Lazarus похитила Ethereum на сумму $1,4 млрд через компрометацию приватных ключей. Фишинг за тот же период принес злоумышленникам еще $410 млн в рамках 132 подтвержденных инцидентов. Совокупный ущерб от краж криптовалюты за весь 2025 год превысил $4 млрд.

У кошельков с абстракцией аккаунта сформировались свои уязвимости. Пеймастеры, оплачивающие газ за пользователей, стали весьма привлекательной целью. В атаках типа Paymaster Depletion злоумышленники генерируют поток валидных, но бесполезных операций UserOperations, которые истощают депозит ETH пеймастера без реальной пользы. В ряде случаев атакующие умудряются возмещать меньше затраченного газа из-за разрыва между фазами валидации и исполнения UserOperation. Атаки повторного воспроизведения (Signature Replay) используют недочеты реализаций смарт-аккаунтов, где подписываемое сообщение не привязано жестко к chain ID, что позволяет повторно использовать действительную подпись в другой сети.

В отчете, опубликованном в марте 2026 года, компания Trail of Bits выделила шесть повторяющихся паттернов уязвимостей по итогам аудитов смарт-аккаунтов ERC-4337, включая ошибки связывания подписей и манипуляции с параметрами газа, истощающие ETH с балансов контрактов. А в апреле 2026 года эксплойт уязвимостей повторного входа (reentrancy) в контрактах пеймастеров ряда DeFi-протоколов привел к потерям на сумму $12 млн. Атакующие воспользовались временным зазором между исходным чтением состояния пеймастера и его обновлением в потоке исполнения ERC-4337 — классическая уязвимость, хорошо знакомая специалистам по безопасности смарт-контрактов.

![Абстракция аккаунта против EOA: почему это важно](https://netts.io/blog/images/body/56d66cc1682a690e75573bd0f5742f4c9b9dc25f-594.webp)

Ни одна из моделей не устраняет риски полностью — они лишь смещают их в разные плоскости. EOA делает ставку на способность одного человека надежно сохранить последовательность слов. Смарт-аккаунт распределяет риски между качеством исходного кода, надежностью хранителей, провайдерами инфраструктуры и операционной безопасностью бандлеров и пеймастеров.

## Оба подхода жизнеспособны. Но требуют осознанности

В глобальном масштабе модель EOA доказала свою устойчивость. Она обеспечивала безопасность расчетов на триллионы долларов в Bitcoin и Ethereum на протяжении более десяти лет. Ее свойства прозрачны, векторы атак досконально изучены, а единственная точка отказа — утеря приватного ключа — полностью зависит от дисциплины пользователя. Большинство пользователей могут обеспечить надежную защиту с помощью аппаратных кошельков, дублированных офлайн-копий в разных локациях и строгой гигиены обращения с сид-фразой.

Абстракция аккаунта закрывает реальную брешь: модель EOA трудно масштабировать на массового пользователя. Люди, привыкшие восстанавливать пароли через email и подтверждать операции по звонку из банка, редко готовы безупречно хранить сид-фразы — а цена единственной ошибки здесь означает полную потерю капитала. Смарт-аккаунты дают механизмы восстановления и гибкие настройки доступа, способные открыть дорогу в криптомир миллионам новичков. Платой за это становятся сложность кода, зависимость от внешней инфраструктуры и совершенно новый пласт технических уязвимостей, аудит которых продолжается прямо сейчас.

Главное — понимать, что ни одна из моделей не идеальна, а разработчики сервисов редко спешат предупреждать пользователей обо всех скрытых ограничениях. Проекты, внедряющие смарт-аккаунты, едва ли станут акцентировать внимание на том, что безопасность их пеймастеров и бандлеров всё еще проходит проверку практикой.

![Абстракция аккаунта против EOA: почему это важно](https://netts.io/blog/images/body/1f61344abae19c56cfb1c479ebf032acc7f88191-970.webp)

Если вы активный пользователь в сети TRON, цените скорость развитой экосистемы, но не хотите сжигать TRX на КАЖДОЙ транзакции, решение предлагает Netts. Аренда Energy — это современный и рациональный инструмент для регулярных операций: мы агрегируем предложения надежных поставщиков TRON Energy в едином интерфейсе по столь низким ценам, что экономия ощутима на каждой транзакции.