Как защитить кошелек MetaMask от взлома

MetaMask хранит секретную фразу, пароль и приватные ключи в зашифрованном формате на устройстве, на котором установлен кошелек. Таким образом, если злоумышленник получит доступ к вашему компьютеру, он сможет получить всю необходимую информацию для входа в кошелек.

Эту проблему можно решить, привязав МетаМаск к другому кошельку, вход в который подтверждается файлом-хранилищем ключа. Такой функцией обладает MyEtherWallet (MEW).

Как защитить кошелек MetaMask с помощью MyEtherWallet

Это бесплатный клиентский интерфейс с открытым исходным кодом. MyEtherWallet (сокращенно MEW) позволяет вам взаимодействовать непосредственно с блокчейном, сохраняя полный контроль над вашими ключами и денежными средствами.

Ваши токены и монеты не находятся в MyEtherWallet. Также, они не находятся на вашем аппаратном кошельке, на MetaMask или на обозревателях блокчейн. Все средства находятся на самом блокчейне. А MEW является дверью, которая позволяет вам удобно взаимодействовать с блокчейном.

Если вы потеряете введенную при регистрации информацию, она будет утрачена навсегда. MEW не хранит эти данные. Поэтому, после того, как вы получите ключи и установите пароль, запишите их в файл и сохраните на нескольких флешках. Храните их в надежном месте.

Зачем это нужно? Цель криптовалюты состоит в том, чтобы позволить людям управлять своими средствами анонимно и безопасно из любого места, без зависимости от третьих лиц.

На блокчейне ваши цифровые активы не контролируются банком или государством. Вы единственный, кто имеет доступ к ним.

Вы можете мгновенно переводить их на любой другой адрес на блокчейне без зависимости от авторизации, разрешения или ограничения. Ваш публичный адрес и закрытый ключ являются единственной информацией, которая вам нужна для хранения и управления своими средствами из любой точки мира.

Создание кошелька MyEtherWallet

Перейдите на официальный сайт — myetherwallet.com.

Нажмите на синюю панель Create a new wallet («Создать новый кошелек»).

Теперь выберите способ создания нового кошелька — Software («Программное обеспечение»).

Затем выберите верхний пункт Keystore File («Файл хранилища ключей»).

Придумайте и введите пароль для доступа к MEW. Он должен состоять из более 9 символов. Сохраните его в файле на отдельной флешке, нажмите Create Wallet («Создать кошелек»).

 

На этой страничке вас предупреждают о важных вещах, которые нужно знать перед загрузкой файла хранилища ключей:

• Не потеряйте файл и пароль— эти данные невозможно восстановить.
• Будьте осторожны — ваши средства будут украдены, если используете этот файл на вредоносном фишинговом сайте.
• Сделайте резервную копию — сохраните файл и пароль на нескольких устройствах, спрячьте в недоступное для других место.

Теперь скачайте файл-хранилище ключа — нажмите на кнопку Acknowledge & Download. Сохраните его на флешке. Сразу же очистите буфер обмена, а также папку с последними скачанными файлами.

Привязка MEW к MetaMask

Перейдите в аккаунт MetaMask. Нам нужно импортировать кошелек MyEtherWallet в MetaMask.

Для этого перейдите в ваш профиль (круглая цветная аватарка вверху), выберите «Импортировать счет».

Установите тип файла «Файл JSON», выберите ваш файл кошелька MEW(который вы создали и сохранили на флешке) и введите пароль к нему. Теперь нажмите «Импорт».

Через несколько минут импорт завершится, а в вашем профиле появится новый счет с пометкой «импортированный». Это означает, что ваш счет открыт в другом кошельке, мы просто открыли его с помощью MetaMask.

Теперь, если злоумышленники получат доступ к вашему МетаМаск, они не смогут в него зайти без файла-хранилища и пароля к MyEtherWallet.

Важно!

Как уже было сказано выше, MetaMask хранит все пароли на вашем компьютере. Это относится и к импортированному счету. Если вы выйдете из аккаунта, ваши данные в нем останутся, чтобы в следующий раз не нужно было повторно вводить данные. Этим могут воспользоваться злоумышленники.

Поэтому импортированный кошелек необходимо удалять при окончании работы с ним. Для этого зайдите в этот счет, кликнув по нему. Нажмите на три точки, выберите «Удалить счет».

Когда он вам вновь понадобится, импортируйте его описанным выше способом (снова загрузите файл и введите пароль к нему).

Как отключить посещенные сайты от МетаМаска

Авторизуясь на сайтах с помощью МетаМаска, вы оставляете его адрес. Злоумышленники могут этим воспользоваться для хищения ваших активов, даже если вы выключили компьютер или вышли из браузера.

Чтобы это предотвратить, нужно вручную отключать эти сайты от своего кошелька. Для этого в аккаунте нажмите на три точки справа от Account1, затем перейдите в Подключенные сайты. Здесь вы увидите полный перечень тех, к которым в данный момент вы подключены.

Отключите каждый, нажав на корзинку рядом. В итоге список должен стать пустым.

То же самое нужно проделывать с каждым вашим счетом в кошельке.

Если вам нужно будет вновь посетить площадку, которую вы отвяжете, вам нужно будет вновь авторизоваться через кошелек.

Таким образом вы ограничиваете доступ к своим активам, сохраняя их безопасность.

Кроме этого, создайте отдельный Google-аккаунт, в который будете заходить только для работы с МетаМаском.

Как отменить Approve

Для взаимодействия с токенами на вашем кошельке любому контракту необходимо ваше одобрение (Approve).

Например, при передаче 100 DAI в Aave смарт-контракту протокола Aave требуется ваше разрешение на то, чтобы взять 100 DAI из вашего кошелька и передать их протоколу. Для этого вы нажимаете на кнопку Approve (Одобрить) перед тем, как совершить транзакцию. Метамаск отправляет вам запрос и вы его подтверждаете.

Однако при взаимодействии с мошенническими сайтами вы точно также можете одобрить их контракту доступ к вашим средствам на кошельке:

Сообщение в MetaMask (перевод): Давая разрешение, вы позволяете следующему контракту получить доступ к вашим фондам.

Поэтому внимательно читайте сообщения в MetaMask — что именно вы одобряете. Также обязательно проверяйте проект, с которым хотите взаимодействовать.

Если у вас таким образом были похищены средства, вы уже не можете пользоваться этим кошельком, так как одобрили к нему доступ мошенническому смарт-контракту.

Однако существует способ отозвать свое разрешение (Approve). Вы можете это сделать через обозреватели блоков. Рассмотрим на примере обозревателя bscscan.com.

1. Перейдите на сайт bscscan.com.

2. Нажмите на пункт меню More, вкладка Token Approvals.

3. В пустое поле введите адрес своего кошелька. Внизу вы увидите все действующие для этого адреса разрешения, которые вы дали.

4. Подключите кошелек MetaMask (Connect to Web3), выберите указанный вами адрес.

5. В поле Contract по названию найдите тот, который вам нужно удалить. Затем нажмите на значок Revoke (Отозвать). Далее подпишите транзакцию.

Таким образом вы отозвали доступ данному смарт-контракту к средствам на вашем кошельке.

Как работают мошеннические схемы

Вот несколько схем, с помощью которых злоумышленники получают доступ к секретным данным кошелька и выводят криптовалюту.

Первая:

• Пользователю приходит письмо от мошенников, которые представляются командой Метамаска.
• В письме они просят пройти верификацию KYC, чтобы соответствовать требованиям регулятора.
• Мошенники предупреждают, что верификацию нужно пройти до определенного числа, иначе кошелек будет заблокирован.
• Если пользователь перейдет по ссылке в письме, то его попросят ввести секретную фразу и пароль. После этого его средства будут украдены.

Вторая:

Поддельные сайты для «майнинга» будут запрашивать подключение к узлу и одобрение неограниченного доступа к вашим средствам на кошельке. Разработчики утверждают, что на данный момент схема нацелена на мобильных пользователей.

Как избежать потери средств:

• Изучите площадку, на котором вы находитесь. Убедитесь в том, что он не мошеннический.
• Внимательно читайте сообщения в MetaMask — запрос на что вы одобряете.
• Никогда не давайте сайтам неограниченных разрешений.
• Всегда отключайте посещенные сайты от кошелька (как это сделать, написано в данной статье).

Третья:

При подписании транзакции появляется следующее сообщение красным шрифтом:

Если вы ее подпишете,  с вашего кошелька спишутся все деньги, так как вы дали на это разрешение. Поэтому внимательно читайте все сообщения, возникающие в процессе взаимодействия с Метамаском.

Четвертая:

На почту приходит письмо якобы от службы поддержки. Злоумышленники пишут в письме, что ваши кошельки отключены из-за высокой нагрузки, и их нужно обновить к определенному сроку. При этом вам угрожают потерей всех ваших средств, если вы срочно не загрузите обновление.

В общем, вы знаете что делать: письма игнорируем, по подозрительным ссылкам не переходим, сид-фразу храним на бумажке и никому не сообщаем.