Семь настроек, которые стоит поменять каждому пользователю MetaMask
MetaMask — самый распространённый кошелёк для Ethereum среди обычных пользователей. И поэтому же главная мишень фишинговых сайтов, наборов-дрейнеров и вредоносных браузерных расширений. Настройки по умолчанию у MetaMask ставят удобство выше безопасности. Семь изменений ниже меняют этот порядок.
Настройки — от самой важной к менее важным
- Подключите аппаратный кошелёк к любому адресу, где лежит сумма, потеря которой будет для вас ощутимой. Свяжите MetaMask с Ledger или Trezor и подтверждайте каждую транзакцию на самом устройстве. Расширение тогда только показывает баланс, а подписывает устройство. Собственную seed-фразу MetaMask можно оставить для небольшого счёта на газ и мелкие операции в DeFi.
- Защиту от фишинга можно отключить, если у вас стоит блокировщик рекламы с фишинговыми списками. Встроенная проверка MetaMask хорошая, но не исчерпывающая; uBlock Origin с фильтром против фишинга ловит больше. Держать включёнными обе можно — главное понимать, какой слой за что отвечает.
- Включите предупреждения безопасности Blockaid. Они находятся в настройках безопасности MetaMask. Blockaid в реальном времени оценивает риск каждого запроса на подпись, и красная плашка на опасном одобрении — самое полезное предупреждение во всём интерфейсе MetaMask.
- Отключите автоматическое обнаружение новых токенов. Именно через неё в кошелёк попадают «пылевые» аирдропы, с которых начинается целый класс атак.
- Для крупных операций подключите собственный RPC-узел. Подойдут Flashbots Protect (
rpc.flashbots.net) или MEV Blocker: транзакция уходит в приватный мемпул, и сэндвич-атаки и фронтраннинг становятся невозможны. - Настройте блокировку через 5 минут бездействия. Настройки → Дополнительно → Таймер автоблокировки. По умолчанию кошелёк блокируется лишь через 12 часов, и за долгий сеанс вредоносная вкладка успеет обратиться к разблокированному кошельку.
- Раз в месяц проверяйте выданные одобрения на revoke.cash. Это не настройка MetaMask, а привычка, без которой не обойтись: после экспериментов с DeFi у многих копятся десятки забытых одобрений, и каждое — открытое разрешение тратить ваши токены через старый контракт.
Как не попасться на фишинг
Большинство взломов MetaMask начинается с фишингового сайта. Защита, о которой забывают чаще всего: подключайте кошелёк только к сайтам из собственных закладок. Не ищите «uniswap» в Google, не переходите по первой ссылке из сообщения в Discord и никогда не подписывайте «проверочную подпись» на сайте, куда вас перенаправили.
Как защитить seed-фразу
MetaMask хранит seed-фразу в локальном хранилище браузера в зашифрованном виде, а ключом к ней служит ваш пароль. При слабом пароле (12345, собственное имя) seed-фраза фактически лежит открытым текстом. Используйте длинный пароль (от 16 символов), сгенерированный менеджером паролей, и храните его там же, а не в памяти: если забудете пароль MetaMask, придётся заново импортировать seed-фразу, то есть снова вводить все 12 слов.
Отдельный профиль браузера
Держите MetaMask в отдельном профиле браузера, где установлены только два расширения: MetaMask и uBlock Origin, и открывайте этот профиль только для работы с кошельком. Всё остальное — работа, почта, новости, соцсети — в другом профиле, где MetaMask нет. Так атака из соседней вкладки просто не доберётся до кошелька.