Сім налаштувань, які варто змінити кожному користувачеві MetaMask

MetaMask — найпоширеніший гаманець Ethereum серед звичайних користувачів. І водночас саме на нього найчастіше цілять фішингові сайти, набори-дрейнери та шкідливі розширення браузера. За замовчуванням налаштування MetaMask ставлять зручність вище за безпеку. Сім змін нижче виправляють цей перекіс.

Налаштування за важливістю

  • Підключіть апаратний гаманець до кожної адреси, де лежить сума, втрата якої була б для вас болючою. Під'єднайте Ledger або Trezor і підписуйте кожну транзакцію на самому пристрої. Розширення MetaMask тоді лише показує дані, а підпис відбувається на пристрої. Seed-фразу самого MetaMask можна залишити для дрібного акаунта на оплату газу й невеликих DeFi-позицій.
  • Вимкніть «виявлення фішингу», якщо у вас уже стоїть блокувальник реклами зі списком фішингових сайтів. Вбудований захист MetaMask непоганий, але не вичерпний. uBlock Origin зі списком захисту від фішингу ловить більше. Можна тримати обидва, головне — розуміти, який шар за що відповідає.
  • Увімкніть сповіщення безпеки Blockaid. Settings → Experimental → Security alerts. Blockaid у реальному часі оцінює ризик кожного запиту на підпис. Червоний банер на ризикованому дозволі — найцінніше попередження в усьому інтерфейсі MetaMask.
  • Вимкніть «allow access to my contract addresses». Settings → Advanced. Так гаманець перестане автоматично показувати нові токени, а саме через них починаються атаки з «пиловими» ейрдропами.
  • Для великих транзакцій вкажіть власний RPC-вузол. Для великих обмінів використовуйте Flashbots Protect (rpc.flashbots.net) або MEV Blocker (rpc.mevblocker.io). Транзакції тоді йдуть через приватний мемпул, і сендвіч-атаки та фронтранінг стають неможливими.
  • Блокуйте розширення після 5 хвилин бездіяльності. Settings → Advanced → Auto-lock timer. За замовчуванням стоїть 12 годин, тобто шкідлива вкладка може звертатися до розблокованого гаманця впродовж усього довгого сеансу в браузері.
  • Щомісяця перевіряйте дозволи на токени через revoke.cash. Це не налаштування MetaMask, а звичка, яка його доповнює. За час експериментів із DeFi у багатьох накопичуються десятки забутих дозволів, і кожен із них — відкрите право витрачати ваші кошти через старий контракт.

Захист від фішингу

Більшість зламів MetaMask починається з фішингового сайту. Захід, про який найчастіше забувають: підключайте гаманець лише до сайтів, відкритих із власних закладок. Ніколи не шукайте «uniswap» у Google, не переходьте за першим посиланням із повідомлення в Discord і не підписуйте «підпис для верифікації» на сайті, куди вас перекинуло переадресацією.

Захист seed-фрази

MetaMask зберігає seed-фразу зашифрованою в локальному сховищі браузера, а ключем до неї слугує ваш пароль. Слабкий пароль (12345, ваше ім'я) означає, що seed-фраза фактично лежить відкритим текстом. Ставте надійний пароль (від 16 символів, згенерований менеджером паролів) і зберігайте його в менеджері паролів, а не в пам'яті: якщо забудете пароль MetaMask, доведеться заново імпортувати seed-фразу, тобто знову вводити 12 слів.

Окремий профіль браузера

Запускайте MetaMask в окремому профілі браузера, де встановлено лише два розширення: MetaMask і uBlock Origin. Цей профіль — тільки для роботи з гаманцем. Робота, пошта, новини, соцмережі — в іншому профілі, де MetaMask немає. Так ви повністю прибираєте атаки з сусідніх вкладок.