«DEX-агрегатор», що спустошив 12 гаманців

Вересень 2024. Трейдер із Києва встановлює «Uniswap+ Pro Trading» — розширення для Chrome, яке обіцяє «захист від MEV і маршрутизацію з 0 % прослизання». 23 000 завантажень, доглянута сторінка продукту. Він підключає основний гаманець і обмінює 40 000 USDC на ETH. Обмін проходить. А за дві години токенів на балансі — 283 000 USD у стейблкоїнах і обгорнутих основних монетах — уже немає. Жодного прихованого підпису він не пропустив: він просто проклацав спливаючі вікна. Під час обміну розширення підкинуло додаткові запити під виглядом «дозволів маршрутизації» — безлімітні дозволи на інші його токени, де отримувачем дозволу була адреса зловмисника. MetaMask показав йому саме ці запити, і він, як завжди, натиснув «Підтвердити».

Що насправді може шкідливе розширення

Розширення з правом читати й змінювати дані на всіх сайтах може переписувати сторінки, якими ви користуєтеся, зокрема й запит, який застосунок надсилає вашому гаманцю. Воно здатне підмінити отримувача, адресу, якій надається дозвіл, чи суму ще до того, як запит дійде до MetaMask, — і вікно гаманця чесно покаже вже підмінену версію, а сама сторінка й далі показуватиме обмін, який ви збиралися зробити. Чого воно не може, то це підписати за вас. Тому вікно гаманця — останнє місце, де підміну ще можна помітити, і єдине, яке варто читати повільно.

Три правила для розширень і грошей

  • Жодне стороннє розширення не повинно мати доступу до вкладки з гаманцем. Користуйтеся окремим чистим профілем браузера, де стоять лише розширення гаманця й блокувальник реклами. Жодних «торгових помічників», «агрегаторів», «захисників від MEV».
  • Чи справжнє розширення, скаже лише сайт самого протоколу. У більшості DeFi-протоколів розширень немає взагалі. Uniswap Labs таки випускає офіційний гаманець-розширення, і встановлювати його безпечно лише за посиланням із wallet.uniswap.org. «Uniswap+ Pro» — як і будь-яке схоже розширення, на яке не посилається офіційний сайт, — не їхнє.
  • Раз на місяць перевіряйте встановлені розширення. Відкрийте chrome://extensions. Не пам'ятаєте, навіщо щось установили, — видаліть.

Що робити після зламу

Переведіть усі активи з кожного гаманця, який будь-коли підключався в цьому браузері, на новий гаманець, створений на іншому пристрої. Відкличте всі дозволи на revoke.cash. Якщо розширення мало широкі права, створіть профіль браузера наново або перевстановіть систему на ноутбуці.

Чому приманка працює

«Захист від MEV» і «0 % прослизання» — справжні терміни з DeFi. Шахрай позичає цю мову, щоб фейк здавався професійним інструментом. Захист — розібратися, що кожен термін означає насправді, і помітити: сервіси, які справді це пропонують, обходяться без окремого «торгового» розширення. CoW Swap працює як вебзастосунок, а Flashbots Protect підключається як RPC-адреса у вашому гаманці.