Безпека MetaMask — це набір звичок, які не дають спустошити гарячий гаманець у браузері чи на телефоні. Шифрування, яким MetaMask захищає збережений ключ, — не слабке місце: майже ніхто не втрачає кошти через те, що хтось перебрав сховище. Втрачають кошти тому, що підписали транзакцію, якої не варто було підписувати; встановили фейкове розширення; вставили адресу, яку непомітно підмінив шкідник у буфері обміну. Візьміть ці три речі під контроль — і ви закриєте переважну частину реального ризику.
Встановлюйте лише зі справжнього джерела
Перший ваш «підпис» — це встановлення. Вводьте metamask.io вручну або користуйтеся заздалегідь збереженою закладкою; ніколи не клікайте результат «MetaMask» з рекламного блоку пошуку і ніколи не встановлюйте розширення, яке сайт сам пропонує додати у спливному вікні. Офіційне розширення публікує ConsenSys; на його сторінці в магазині Chrome видно мільйони користувачів і відгуки за багато років. «MetaMask Pro» чи щойно опублікований клон із жменькою відгуків — це дрейнер. Якщо сумніваєтеся, єдині посилання на завантаження, яким варто довіряти, — канонічні посилання на самому metamask.io.
Seed-фраза — це весь акаунт цілком
MetaMask показує вашу seed-фразу з 12 слів рівно один раз, під час налаштування. Той, хто має ці слова, володіє всіма акаунтами, виведеними з неї, на всіх мережах, назавжди — без пароля, без пристрою, без скидання. Запишіть її на папері (або на сталі) і зберігайте офлайн. Не робіть скриншот, не вбивайте в нотатки, не дозволяйте їй потрапити в резервну копію iCloud чи Google Drive і не вводьте на жодному сайті та в жодну форму «підтримки». Сам MetaMask після налаштування ніколи не запитує seed-фразу; будь-який запит, що її просить, — це шахрайство, крапка.
Читайте те, що підписуєте: дозволи — головна атака
Найчастіше гаманець спустошують не через вкрадений ключ, а через дозвіл на токени (approval). Коли ви під'єднуєтеся до застосунку й підтверджуєте токен, ви даєте смартконтракту право виводити цей токен із вашого гаманця. Шкідливі сайти просять необмежений дозвіл, а потім, нерідко через тижні, коли ви вже про все забули, забирають баланс. Перед підтвердженням читайте вікно MetaMask: який контракт, який токен, яка сума. Якщо сторінка «отримайте ейрдроп» чи «підтвердьте гаманець» просить підписати Permit або setApprovalForAll, яких ви не збиралися давати, відхиліть. Періодично переглядайте й відкликайте старі дозволи інструментом на кшталт Revoke.cash, щоб забутим дозволом ніхто не скористався.
Фішингові підписи та фейкова «підтримка»
Багато схем узагалі обходяться без шкідливого ПЗ — їм потрібен лише один невдалий підпис. Двійник справжнього застосунку, спливне вікно «валідація гаманця», «агент підтримки» в Discord чи Telegram, який пише першим і просить «синхронізувати» або «перепідтвердити» гаманець. Справжня підтримка ніколи не пише першою і ніколи не потребує вашого підпису, щоб полагодити акаунт. Вважайте будь-який несподіваний запит на підпис ворожим, доки не підтвердили точний сайт і точно те, що робить транзакція.
Буфер обміну й шкідливе ПЗ з фейковими вікнами
Шкідник-кліпер стежить за буфером обміну й підміняє скопійовану криптоадресу адресою зловмисника. Вставивши адресу отримувача, щоразу звіряйте перші й останні кілька символів із джерелом, перш ніж надсилати. Окремо: деякі шкідливі програми малюють фейкове вікно MetaMask поверх сторінки, щоб виманити seed-фразу; справжній інтерфейс розширення відкривається з іконки на панелі інструментів, а не як накладення на сторінці, що просить ваші слова відновлення.
Поєднайте MetaMask з апаратним гаманцем
Можна під'єднати Ledger чи Trezor і працювати через інтерфейс MetaMask. Звичний інтерфейс лишається, але сам підпис переноситься на пристрій із власним екраном і фізичною кнопкою підтвердження — тож навіть шкідливий застосунок не зрушить кошти, поки ви не підтвердите це на пристрої. Для будь-якого балансу, втратити який було б боляче, це найважливіший апгрейд: він нейтралізує ризик сліпого підпису, бо транзакцію треба підтвердити на окремому пристрої з офлайн-ключем.
Розумні звички щоденного користування
Тримайте невеликий «витратний» гарячий гаманець для під'єднання до незнайомих застосунків окремо від гаманця зі значним балансом. Блокуйте MetaMask, коли відходите. Не тримайте в щоденному гарячому гаманці більше, ніж витратите за пару тижнів звичайної активності, а решту переведіть на холодне зберігання. Нічого екзотичного — та сама дисципліна, до якої рано чи пізно доходить кожен обачний власник криптовалюти.
Що почитати далі: Гарячий гаманець, Фішинг, Revoke.cash, Як розпізнати фейковий застосунок гаманця.