Безопасность
Расширение кошелька в браузере: как не поставить подделку
Браузерное расширение кошелька удобно для DeFi, NFT и сайтов Web3, но это же удобство делает его лакомой целью для мошенников. Фейковое расширение может украсть seed-фразу или подсунуть опасную транзакцию.
Короткий ответ
Расширение криптокошелька нужно устанавливать только из официального источника. Подделка может иметь похожее название, логотип, отзывы и описание, но внутри быть инструментом для кражи seed-фразы, приватного ключа или подписей.
Если вы активно пользуетесь кошельком в браузере, относитесь к расширению как к двери в квартиру. Дверь может быть стильной, но важнее, кто сделал замок.
Главные риски браузерных кошельков
Браузерный кошелек часто взаимодействует с сайтами. Вы подключаете его, подписываете сообщения, подтверждаете транзакции, выдаете разрешения токенам и смарт-контрактам. Если расширение поддельное или сайт опасный, ошибка может стоить денег.
Есть две большие категории риска: поддельное расширение и опасное действие в настоящем расширении. В первом случае проблема в самом приложении. Во втором - кошелек настоящий, но пользователь подписывает то, что не понял.
| Риск | Как выглядит | Что делать |
|---|---|---|
| Фейковое расширение | Похожее название и логотип | Идти по ссылке с официального сайта |
| Фишинговый сайт | Просит подключить кошелек или seed-фразу | Проверять домен |
| Опасное разрешение | Approve на токены без понимания | Читать, что именно разрешаете |
| Подпись сообщения | Сайт просит подписать непонятный текст | Не подписывать вслепую |
Как проверить расширение перед установкой
- Откройте официальный сайт кошелька вручную.
- Перейдите в магазин расширений только по ссылке с официального сайта.
- Проверьте имя разработчика и количество установок.
- Посмотрите дату обновления и историю отзывов.
- Не устанавливайте копии с похожими названиями.
- Не импортируйте основной кошелек в расширение, которому не доверяете.
Разрешения, подписи и approve
Даже настоящий кошелек не спасает, если вы подтверждаете все подряд. Некоторые сайты просят разрешение тратить токены, подписать сообщение или подтвердить транзакцию. Привычная кнопка создает ложное ощущение, что “кошелек сам знает”. Нет, кошелек показывает действие, а решение принимаете вы.
Особенно внимательно смотрите на approve. Это разрешение смарт-контракту работать с вашими токенами. Иногда оно нужно для нормальной операции, но на фишинговом сайте может открыть дорогу к списанию. Если не понимаете, что подтверждаете, лучше остановиться.
Зачем нужен отдельный кошелек для экспериментов
Хорошая привычка - не подключать основной кошелек ко всем новым сайтам. Для тестов можно использовать отдельный кошелек с небольшой суммой. Тогда даже если сайт окажется сомнительным, риск ограничен. Это не абсолютная защита, но хороший предохранитель от случайной ошибки.
Основной кошелек лучше использовать осторожно: меньше подключений, меньше разрешений, меньше экспериментов. Так ниже риск случайно подписать опасное действие.
Что проверять перед подписью
- Какой сайт просит подпись.
- Что именно написано в окне кошелька.
- Это просто вход на сайт или действие с токенами.
- Есть ли сумма, адрес получателя или разрешение spending limit.
- Понимаете ли вы, зачем нужна эта подпись.
Если окно кошелька выглядит непонятно, не надо нажимать “подтвердить” ради эксперимента. Сначала разбираемся, потом подписываем. Или не подписываем вообще.
Для первых Web3-экспериментов лучше использовать отдельный браузерный профиль и отдельный кошелек. Тогда случайная ошибка на новом сайте не потащит за собой основной адрес, где лежат важные средства и старая история операций.
Гигиена браузера
- Используйте отдельный профиль браузера для крипты.
- Не ставьте лишние расширения рядом с кошельком.
- Не храните seed-фразы в заметках браузера или скриншотах.
- Проверяйте подключенные сайты в настройках кошелька.
- Для крупных сумм подумайте об аппаратном кошельке или отдельном хранении.
- Не подключайте основной кошелек к каждому новому сайту ради “бесплатного дропа”.
Что делать, если расширение кажется подозрительным
Не вводите seed-фразу и не подписывайте действия. Отключите расширение, проверьте источник установки, удалите подозрительные дополнения. Если вы уже импортировали seed-фразу в поддельное расширение, создайте новый кошелек из надежного источника и переносите средства, пока они еще доступны.
Если были подозрительные approve или подписи, сохраните адреса, TXID и проверьте историю операций. Не переходите по ссылкам от “помощников”, которые обещают отменить все разрешения за оплату.
FAQ
Можно ли пользоваться браузерным кошельком без опыта?
Можно, если понимать базовые риски: источник установки, seed-фраза, подписи, approve и проверка сайтов. Для первых шагов лучше не хранить там крупные суммы.
Расширение просит seed-фразу при импорте. Это нормально?
Импорт кошелька действительно требует seed-фразу, но делать это можно только в проверенном расширении из официального источника. На сайте или в чате seed-фразу вводить нельзя.
Что опаснее: фейковое расширение или фишинговый сайт?
Оба опасны. Фейковое расширение может украсть доступ сразу, а фишинговый сайт может заставить вас подписать вредное действие в настоящем кошельке.
Почему расширение требует особой дисциплины
Браузерный кошелек постоянно работает рядом с сайтами, вкладками, разрешениями и подключениями. Это удобно для Web3, но без опыта легко подписать не то действие или подключиться к фишинговой странице. Расширение не должно быть установлено “просто чтобы было”.
Перед подтверждением смотрите, какой сайт просит доступ, что именно вы подписываете и не просит ли страница seed-фразу. Подключение кошелька и раскрытие seed-фразы - совершенно разные вещи.
Что проверять перед подписью
Смотрите не только кнопку “подтвердить”, но и сайт, сеть, разрешения и смысл действия. Если не понимаете, что подписываете, лучше отменить и разобраться, чем потом читать транзакцию уже после отправки.
Что читать дальше
Для базы откройте как распознать поддельный криптокошелек и что такое фишинг. Если хотите понять модель хранения, прочитайте про некастодиальный кошелек и про seed-фразу.