«DEX-агрегатор», который опустошил 12 кошельков

Сентябрь 2024. Трейдер из Москвы устанавливает «Uniswap+ Pro Trading» — расширение для Chrome, которое обещает «MEV-защиту и маршрутизацию с нулевым проскальзыванием». 23 000 загрузок, вылизанный лендинг. Он подключает основной кошелёк и меняет 40 000 USDC на ETH. Обмен проходит. Через два часа все его токены — 283 000 USD в стейблкоинах и обёрнутых мейджорах — исчезают. Скрытую подпись он не пропускал: он прокликал всплывающие окна. Вокруг обмена расширение подсунуло лишние запросы под видом «разрешений на маршрутизацию» — безлимитные одобрения на остальные его токены, где получателем права (spender) был адрес мошенника. MetaMask показал ему именно эти запросы, и он нажал «Подтвердить», как делал всегда.

Что реально может вредоносное кошельковое расширение

Расширение, которому разрешено читать и изменять данные на всех сайтах, может переписывать страницы, которыми вы пользуетесь, — в том числе запрос, который dApp отправляет в кошелёк. Оно способно подменить получателя, spender или сумму ещё до того, как запрос дойдёт до MetaMask, — и окно кошелька честно покажет уже подменённую версию, а сама страница продолжит показывать тот свап, который вы собирались сделать. Чего оно не может — так это подписать за вас. Поэтому окно кошелька — последнее место, где подмену ещё можно поймать, и единственное, которое стоит читать медленно.

Три правила для расширений и денег

  • Ни одно расширение не должно иметь доступ к вкладке кошелька. Держите для кошелька чистый профиль браузера, где кроме него стоит разве что блокировщик рекламы. Никаких «торговых помощников», «агрегаторов», «MEV-протекторов». Если функция полезна, реальный протокол её поставит.
  • Настоящее ли расширение, скажет только официальный сайт протокола. У большинства DeFi-протоколов расширений нет вовсе. У Uniswap Labs официальное расширение-кошелёк есть, и безопасно ставить его только по кнопке загрузки на wallet.uniswap.org. «Uniswap+ Pro» — как и любая одноимённая карточка, на которую официальный сайт не ссылается, — к ним отношения не имеет.
  • Аудит установленных расширений раз в месяц. Откройте chrome://extensions. Если не помните, зачем устанавливали — удалите.

Восстановление после компрометации

Переведите каждый актив со всех кошельков, когда-либо подключённых в этом браузере, на свежий, сгенерированный на другом устройстве. Отзовите каждое одобрение на revoke.cash. Переустановите профиль браузера или весь ноутбук, если разрешения у расширения были широкие.

Почему наживка работает

«MEV-защита» и «нулевое проскальзывание» — настоящие термины DeFi. Мошенник берёт этот язык, чтобы подделка выглядела профессиональным инструментом. Защита — понимать, что стоит за каждым термином, и помнить: инструменты, которые действительно это дают, обходятся без отдельного «торгового» расширения — CoW Swap работает через веб-приложение, а Flashbots Protect подключается как RPC-адрес в настройках кошелька.