Безопасность MetaMask — это набор привычек, которые не дают опустошить горячий кошелёк в браузере или телефоне. Шифрование, которым MetaMask защищает хранимый ключ, — не слабое место: почти никто не теряет средства из-за того, что кто-то перебрал хранилище. Теряют средства потому, что подписали транзакцию, которую не следовало; установили фейковое расширение; вставили адрес, который незаметно подменил вирус в буфере обмена. Возьмите эти три вещи под контроль — и вы закроете подавляющую часть реального риска.
Устанавливайте только из настоящего источника
Первая ваша «подпись» — это установка. Вводите metamask.io вручную или используйте заранее сохранённую закладку; никогда не кликайте результат «MetaMask» из рекламного блока поиска и никогда не устанавливайте расширение, которое сайт сам предлагает добавить во всплывающем окне. Официальное расширение публикует ConsenSys; в листинге Chrome видны миллионы пользователей и годы отзывов. «MetaMask Pro» или свежий клон с горсткой отзывов — это дрейнер. Если сомневаетесь, единственные ссылки на скачивание, которым стоит доверять, — канонические ссылки на самом metamask.io.
Seed-фраза — это весь аккаунт целиком
MetaMask показывает вашу seed-фразу из 12 слов ровно один раз, при настройке. Тот, у кого есть эти слова, владеет всеми аккаунтами, выведенными из неё, на всех сетях, навсегда — без пароля, без устройства, без сброса. Запишите её на бумаге (или на стали) и храните офлайн. Не делайте скриншот, не вбивайте в заметки, не позволяйте ей попасть в резервную копию iCloud или Google Drive и не вводите ни на одном сайте и ни в какой форме «поддержки». Сам MetaMask после настройки никогда не запрашивает seed-фразу; любой запрос, который её просит, — это мошенничество, точка.
Читайте то, что подписываете: одобрения и есть главная атака
Чаще всего кошелёк опустошают не через украденный ключ, а через одобрение токена (approve). Подключаясь к dApp и одобряя токен, вы даёте смарт-контракту право выводить этот токен из вашего кошелька. Вредоносные сайты запрашивают неограниченный лимит, а потом, нередко спустя недели после того, как вы забыли о взаимодействии, забирают баланс. Перед подтверждением читайте окно MetaMask: какой контракт, какой токен, какая сумма. Если страница «получите аирдроп» или «подтвердите кошелёк» просит подписать Permit или setApprovalForAll, которые вы не собирались давать, отклоните. Время от времени просматривайте и отзывайте старые одобрения с помощью инструмента вроде Revoke.cash, чтобы забытым лимитом никто не воспользовался.
Фишинговые подписи и фейковая «поддержка»
Многие схемы вообще обходятся без малвари — им нужна лишь одна плохая подпись. Двойник настоящего dApp, всплывашка «валидация кошелька», «агент поддержки» в Discord или Telegram, который пишет первым и просит «синхронизировать» или «переподтвердить» кошелёк. Настоящая поддержка никогда не пишет первой и никогда не нуждается в вашей подписи, чтобы починить аккаунт. Считайте любой неожиданный запрос на подпись враждебным, пока не подтвердили точный сайт и точно то, что делает транзакция.
Буфер обмена и вирусы с поддельными окнами
Клиппер — вредоносная программа, которая следит за буфером обмена и подменяет скопированный криптоадрес на адрес злоумышленника. После вставки адреса назначения каждый раз сверяйте первые и последние несколько символов с источником перед отправкой. Отдельно: часть малвари рисует фейковое окно MetaMask поверх страницы, чтобы выманить seed-фразу; настоящий интерфейс расширения открывается по иконке в панели инструментов, а не как наложение на странице, просящее ваши слова восстановления.
Свяжите MetaMask с аппаратным кошельком
Можно подключить Ledger или Trezor и работать через интерфейс MetaMask. Интерфейс остаётся привычным, но сама подпись переносится на устройство с собственным экраном и физической кнопкой подтверждения — так что даже вредоносный dApp не сдвинет средства без вашего одобрения на железе. Для любого баланса, потерять который было бы больно, это важнейший апгрейд: он нейтрализует риск слепой подписи, потому что транзакцию нужно подтвердить на отдельном устройстве с офлайн-ключом.
Разумные привычки повседневного использования
Держите небольшой «расходный» горячий кошелёк для незнакомых dApp отдельно от кошелька с серьёзным балансом. Блокируйте MetaMask, когда отходите от компьютера. Не держите в повседневном горячем кошельке больше, чем потратите за пару недель обычной активности, остальное отправьте в холодное хранение. Ничего экзотического — обычная дисциплина аккуратного владельца криптовалюты.
Дополнительное чтение: Горячий кошелёк, Фишинг, Revoke.cash, Как распознать фейковое приложение кошелька.