Безпека MetaMask — це набір звичок, які не дають браузерному та мобільному hot-гаманцю бути спустошеним. Шифрування, яким MetaMask захищає збережений ключ, — не слабке місце: майже ніхто не втрачає кошти через те, що хтось перебрав сховище. Втрачають кошти тому, що підписали транзакцію, яку не варто було; встановили фейкове розширення; вставили адресу, яку непомітно підмінив clipboard-викрадач. Візьміть ці три речі під контроль — і ви закриєте переважну частину реального ризику.
Встановлюйте лише зі справжнього джерела
Перший ваш «підпис» — це встановлення. Вводьте metamask.io вручну або користуйтеся заздалегідь збереженою закладкою; ніколи не клікайте результат «MetaMask» з рекламного блоку пошуку і ніколи не встановлюйте розширення, яке сайт сам пропонує додати у спливному вікні. Офіційне розширення публікує ConsenSys; у лістингу Chrome видно мільйони користувачів і роки відгуків. «MetaMask Pro» чи свіжоопублікований клон із жменькою відгуків — це drainer. Якщо сумніваєтеся, єдині посилання на завантаження, яким варто довіряти, — канонічні посилання на самому metamask.io.
Seed-фраза — це весь акаунт цілком
MetaMask показує вашу seed-фразу з 12 слів рівно один раз, під час налаштування. Той, хто має ці слова, володіє всіма акаунтами, виведеними з неї, на всіх мережах, назавжди — без пароля, без пристрою, без скидання. Запишіть її на папері (або на сталі) і зберігайте офлайн. Не робіть скриншот, не вбивайте в нотатки, не дозволяйте їй потрапити в резервну копію iCloud чи Google Drive і не вводьте на жодному сайті та в жодну форму «підтримки». Сам MetaMask після налаштування ніколи не запитує seed-фразу; будь-який запит, що її просить, — це шахрайство, крапка.
Читайте те, що підписуєте — approval і є головна атака
Найчастіше спустошення — не вкрадений ключ, а token approval. Коли ви під'єднуєтеся до dApp і підтверджуєте токен, ви даєте смартконтракту право виводити цей токен із вашого гаманця. Шкідливі сайти запитують необмежений allowance, а потім, нерідко за тижні після того, як ви забули про взаємодію, забирають баланс. Перед підтвердженням читайте вікно MetaMask: який контракт, який токен, яка сума. Якщо сторінка «отримайте airdrop» чи «підтвердьте гаманець» просить підписати Permit або setApprovalForAll, яких ви не збиралися давати, відхиліть. Періодично переглядайте й відкликайте старі approval інструментом на кшталт Revoke.cash, щоб забутий allowance не можна було використати.
Фішингові підписи та фейкова «підтримка»
Багато схем узагалі обходяться без малварі — їм потрібен лише один поганий підпис. Двійник справжнього dApp, спливне вікно «валідація гаманця», «агент підтримки» в Discord чи Telegram, який пише першим і просить «синхронізувати» або «перепідтвердити» гаманець. Справжня підтримка ніколи не пише першою і ніколи не потребує вашого підпису, щоб полагодити акаунт. Вважайте будь-який несподіваний запит на підпис ворожим, доки не підтвердили точний сайт і точно те, що робить транзакція.
Clipboard і малварь із фейковими вікнами
Clipper-малварь стежить за буфером обміну й замінює скопійовану крипто-адресу на адресу зловмисника. Після вставлення адреси призначення щоразу звіряйте перші й останні кілька символів із джерелом перед надсиланням. Окремо: частина малварі малює фейкове вікно MetaMask поверх сторінки, щоб виманити seed-фразу; справжній інтерфейс розширення відкривається з іконки на панелі інструментів, а не як накладення на сторінці, що просить ваші слова відновлення.
Поєднайте MetaMask з апаратним гаманцем
Можна під'єднати Ledger чи Trezor і працювати через інтерфейс MetaMask. Це зберігає звичний UX, але переносить сам підпис на пристрій із власним екраном і фізичною кнопкою підтвердження — тож навіть шкідливий dApp не зрушить кошти без вашого схвалення на залізі. Для будь-якого балансу, втратити який було б боляче, це найважливіший апгрейд: він нейтралізує ризик сліпого підпису, бо транзакцію треба підтвердити на окремому пристрої з офлайн-ключем.
Розумні звички щоденного користування
Тримайте невеликий «витратний» hot-гаманець для під'єднання до незнайомих dApp окремо від гаманця зі значущим балансом. Блокуйте MetaMask, коли відходите. Не тримайте в щоденному hot-гаманці більше, ніж витратите за пару тижнів звичайної активності, а решту відправте в холодне зберігання. Нічого екзотичного — та сама дисципліна, до якої приходить кожен акуратний голдер.
Подальше читання: Hot wallet, Фішинг, Revoke.cash, Як розпізнати фейковий застосунок гаманця.