Сначала о жанре. Ниже — синтетический учебный кейс: человек, даты и суммы собраны из типовых обращений так, чтобы механика была видна, и конкретного читателя они не описывают. Сам приём настоящий: расширение-двойник забирает seed-фразу ещё на этапе создания кошелька, а потом ждёт, пока на балансе не появится что забирать.

Шестнадцать дней, когда ничего не происходило

Даниил ищет MetaMask в Chrome Web Store и видит три расширения с этим названием. Выбирает то, у которого иконка посвежее, а оценка выше. Установка идёт ровно как в туториалах: создать кошелёк, записать двенадцать слов, задать пароль. Две недели он гоняет туда-сюда мелкие суммы, подключается к паре dApp — и ничего подозрительного не замечает. В этом и смысл: на этом этапе ничего и не должно выглядеть подозрительно.

Шестнадцатый день

Он переводит с биржи 6 ETH, открывает DEX, чтобы добавить ликвидность, а через несколько часов возвращается к почти пустому кошельку. Ни одной подписи он не давал, ни одного разрешения не выдавал — в истории только обычный перевод с его собственного адреса на адрес, который он видит впервые. Кошелёк, который отправляет средства, не спрашивая подписи, означает ровно одно: приватный ключ покинул компьютер задолго до денег.

Что он установил на самом деле

Откройте chrome://extensions/, нажмите «Подробнее» и прочитайте три поля по отдельности. У настоящего MetaMask они фиксированы: идентификатор расширения — nkbihfbeogaeaoehlefnkodbefgpgknn (та же строка стоит в конце адреса его страницы в Chrome Web Store), название — MetaMask, разработчик — metamask.io. У копии, которую поставил Даниил, идентификатор был другим. Совпавшее название и похожая иконка сами по себе ничего не доказывают: если хотя бы одно из трёх полей не сходится — не ставьте.

Почему отложенный вариант неприятнее мгновенного

Мгновенный дрейнер хотя бы сообщает о себе сразу: известен час, известно, что именно вы только что поставили, можно предупредить других. Отложенный забирает seed-фразу при создании кошелька и ждёт, пока баланс дорастёт до интересного, — и к моменту срабатывания за спиной уже две недели, сотни открытых сайтов и десяток установленных программ, и каждая из них теперь под подозрением. Надёжной публичной статистики о том, скольких людей и на какие суммы поймали такие расширения-двойники, нет, поэтому действовать нужно исходя из формы атаки, а не из её масштаба.

Проверка перед установкой любого кошелькового расширения

  • Приходите с официального сайта. Для MetaMask это metamask.io, откуда есть ссылка на страницу в магазине. Выбор из результатов поиска по магазину — как раз то место, где всё ломается: порядок выдачи поддаётся накрутке.
  • Сверьте идентификатор расширения. Всё, что не nkbihfbeogaeaoehlefnkodbefgpgknn, — не MetaMask, что бы ни было написано в карточке.
  • Сверьте поле «Разработчик». Там должно стоять metamask.io. Название подделывается легко, поэтому разработчика смотрят вместе с ним, а не вместо него.
  • Несколько одноимённых расширений подряд? Считайте подозрительными все, если вы пришли не с официального сайта.
  • Права доступа здесь мало что говорят. Настоящий MetaMask тоже просит читать данные на посещаемых сайтах — именно поэтому подделка способна ровно на то же самое.

Если вы уже что-то поставили

Удаление расширения — не спасение: seed-фраза уже ушла. Считайте выжженным любой адрес, который этот кошелёк когда-либо держал. С чистого устройства переведите остатки на свежий адрес аппаратного кошелька, а старую машину проверьте антивирусом; если это тот же ноутбук, с которого вы заходите в банк, спокойнее переустановить систему.

Отдельный профиль браузера под кошелёк

Заведите под кошельковые расширения отдельный профиль браузера и не ставьте в него ничего лишнего: кошелёк и, может быть, один блокировщик рекламы — весь список. От неудачной установки это не страхует, но радиус поражения остаётся маленьким.