Спершу про жанр. Нижче — синтетичний навчальний кейс: людину, дати й суми складено з типових сценаріїв так, щоб було видно механіку, і жодної конкретної людини вони не описують. Сам прийом справжній: розширення-двійник забирає seed-фразу ще на етапі створення гаманця, а потім чекає, поки на балансі не з'явиться що забирати.
Шістнадцять днів, коли нічого не ставалося
Данило шукає MetaMask у Chrome Web Store і бачить три розширення з такою назвою. Обирає те, у якого іконка свіжіша, а оцінка вища. Встановлення йде точно як в інструкціях: створити гаманець, записати дванадцять слів, задати пароль. Два тижні він переказує туди-сюди дрібні суми, підключається до кількох застосунків — і нічого підозрілого не помічає. У цьому й річ: на цьому етапі нічого й не має виглядати підозріло.
Шістнадцятий день
Він переказує з біржі 6 ETH, відкриває DEX, щоб додати ліквідність, а за кілька годин повертається до майже порожнього гаманця. Жодного підпису він не давав, жодного дозволу не видавав — в історії лише звичайний переказ з його власної адреси на адресу, яку він бачить уперше. Гаманець, який відправляє кошти, не питаючи підпису, означає рівно одне: приватний ключ покинув комп'ютер задовго до грошей.
Що він встановив насправді
Відкрийте chrome://extensions/, натисніть «Детальніше» і прочитайте три поля окремо. У справжнього MetaMask вони фіксовані: ідентифікатор розширення — nkbihfbeogaeaoehlefnkodbefgpgknn (той самий рядок стоїть у кінці адреси його сторінки в Chrome Web Store), назва — MetaMask, розробник — metamask.io. У копії, яку поставив Данило, ідентифікатор був інший. Збіг назви та схожа іконка самі по собі нічого не доводять: якщо хоча б одне з трьох полів не сходиться — не ставте.
Чому відкладений варіант неприємніший за миттєвий
Миттєвий дрейнер принаймні повідомляє про себе одразу: відома година, відомо, що саме ви щойно поставили, можна попередити інших. Відкладений забирає seed-фразу при створенні гаманця й чекає, поки баланс доросте до цікавого, — і на момент спрацювання позаду вже два тижні, сотні відкритих сайтів і десяток встановлених програм, і кожна з них тепер під підозрою. Достовірної публічної статистики про те, скількох людей і на які суми обікрали такі розширення-двійники, не знайшлося, тож цифр тут не буде. Діяти треба з огляду на саму схему атаки, а не на її масштаб.
Перевірка перед встановленням будь-якого гаманцевого розширення
- Приходьте з офіційного сайту. Для MetaMask це
metamask.io, звідки є посилання на сторінку в магазині. Вибір із результатів пошуку в магазині — саме те місце, де все ламається: порядок видачі піддається накрутці. - Звірте ідентифікатор розширення. Усе, що не
nkbihfbeogaeaoehlefnkodbefgpgknn, — не MetaMask, хоч би що було написано в картці. - Звірте поле «Розробник». Там має стояти metamask.io. Назву підробити легко, тому розробника дивляться разом із нею, а не замість неї.
- Кілька однойменних розширень поспіль? Вважайте підозрілими всі, якщо ви прийшли не з офіційного сайту.
- Дозволи тут мало про що говорять. Справжній MetaMask теж просить читати дані на відвіданих сайтах — саме тому підробка здатна рівно на те саме.
Якщо ви вже щось поставили
Видалення розширення — не порятунок: seed-фраза вже пішла. Вважайте випаленою будь-яку адресу, яку цей гаманець колись тримав. З чистого пристрою переведіть залишки на свіжу адресу апаратного гаманця, а стару машину перевірте антивірусом; якщо це той самий ноутбук, з якого ви заходите в банк, спокійніше перевстановити систему.
Як зменшити шкоду наперед
Заведіть для гаманцевих розширень окремий профіль браузера, де більше нічого не стоїть: гаманець і один блокувальник реклами — увесь список. Від невдалого встановлення це не вбереже, але шкода лишиться обмеженою.