Поддельное расширение кошелька: как одна установка раскрыла seed-фразу

Поддельное расширение криптокошелька: как seed-фраза передавалась при создании или импорте

Вредоносная программа может украсть фразу так, что утечка не будет похожа на привычную отправку данных на подозрительный сервер.

Так работало расширение Safery: Ethereum Wallet. По данным исследователей Socket, оно передавало мнемонику через транзакции в сети Sui. В блокчейн уходили переводы всего по 0,000001 SUI, а в адресах этих переводов кодировалась информация, позволяющая восстановить фразу. Это конкретный пример того, как устроена кража seed-фразы через поддельное расширение криптокошелька. Он также напоминает: наличие баланса и работающих функций само по себе ничего не говорит о добросовестности приложения.

Safery: Ethereum Wallet — отдельное расширение, выдававшее себя за ETH-кошелек

Расширение Safery: Ethereum Wallet опубликовали 12 ноября 2024 года. Оно представлялось кошельком для Ethereum, а исследователи описали его как отдельное вредоносное расширение. Это не история о взломе официального кошелька Ethereum или MetaMask.

Разница принципиальная. Пользователь может доверять известному приложению и при этом случайно установить программу с похожим назначением или названием. Интерфейс браузерного расширения становится привычной точкой входа в кошелек: в нем создают адрес, импортируют существующий и подтверждают операции. Если саму программу контролирует злоумышленник, привычные кнопки не защищают от передачи ему секретных данных.

По анализу Socket, Safery умело выполнять типичные функции кошелька. Оно создавало и импортировало кошельки, запрашивало балансы и позволяло отправлять ETH. Для новичка это может выглядеть как достаточное подтверждение, что приложение настоящее. Но работоспособность интерфейса доказывает только то, что интерфейс выполняет команды. Она не подтверждает, что программа не копирует seed-фразу.

Здесь находится базовая уязвимость любой установки криптокошелька: пользователь доверяет приложению ключ к своим активам. Для обычного сервиса забытый пароль иногда можно сбросить через поддержку. Seed-фраза устроена иначе. Тот, кто получил ее, может восстановить кошелек и связанные с ним аккаунты. Поэтому запрос мнемоники — момент, когда доверие к приложению должно опираться на проверку его подлинности, а не на аккуратный дизайн.

Как мнемоника превращалась в адреса Sui

Схема Safery была рассчитана на пользователя, который создавал новый кошелек или импортировал существующий. Именно при одном из этих действий расширение получало мнемоническую фразу. По описанию Socket, затем оно кодировало ее в адресах сети Sui и отправляло на них транзакции.

Это не означало, что слова seed-фразы открытым текстом пересылались через HTTP. По данным исследователей, данные уходили через обычные на вид транзакции в блокчейне Sui. Для этого не требовался центральный сервер управления, который принимал бы фразу в привычном смысле. Злоумышленник мог восстановить информацию из адресов, на которые отправлялись переводы.

В описанном механизме одна фраза из 12 слов кодировалась в одном искусственно сформированном адресе Sui. Фраза из 24 слов разбивалась на два адреса. Расширение отправляло по 0,000001 SUI за транзакцию, используя кошелек злоумышленника, мнемоническая фраза которого была заранее встроена в код.

Небольшая сумма здесь не делает операцию безопасной. Она служила частью механизма передачи данных. Транзакция могла выглядеть как малозначительное движение средств, а адрес — как обычная техническая деталь. Для пользователя важнее другое: после попадания информации в блокчейн она становится частью публичной истории сети. Такой канал может обойти ожидания человека, который проверяет только, не отправляет ли приложение текст на неизвестный веб-сервер.

Seed-фраза дает доступ к кошельку. Способ ее кражи может выглядеть как перевод пыли, техническая проверка или обычная операция в другой сети.

Этот случай полезен не как повод считать опасными все транзакции в Sui или все браузерные кошельки. Socket описала конкретное расширение и конкретную механику. Вывод уже, но важен: проверка сетевых запросов сама по себе не гарантирует, что приложение не выносит секрет через блокчейн или иной канал.

Почему рабочий кошелек мог не вызвать подозрений

Вредоносное приложение редко обязано ломать ожидаемый сценарий пользователя. Напротив, если оно нормально создает адреса и показывает баланс, подозрений меньше. Это обычная логика маскировки: полезная функция помогает получить доступ к данным, ради которых приложение и ставят.

Кошелек также может запросить seed-фразу при импорте, и для пользователя такое действие знакомо: слова нужны, чтобы восстановить доступ. Опасность не в том, что любое приложение с таким запросом автоматически вредоносно. Опасность в том, что введенная фраза перестает быть тайной от этого приложения. Если его автору нельзя доверять, пользователь передает ему ключи от своих активов.

Сравнивать стоит не только вид интерфейса, но и модель доверия:

Таблица не заменяет разбор разрешений и подлинности приложения. Она показывает, почему импорт готового кошелька особенно чувствителен: пользователь сообщает программе секрет, который уже открывает доступ к активам. Для долгосрочного хранения крупных сумм аппаратный кошелек может уменьшить контакт приватного ключа с браузером, но не исправит привычку вводить seed-фразу в случайные окна и расширения.

Защита начинается до установки. Если кошелек найден через рекламную выдачу, случайный пост или ссылку из чата, это не подтверждение его подлинности. Идентификатор Safery, приведенный исследователями, — fibemlnkopkeenmmgcfohhcdbkhgbolo. Эта деталь может помочь сопоставить конкретное расширение, но сама по себе не является универсальным способом распознавания подделок. Вредоносные приложения могут иметь другие названия, идентификаторы и оболочки.

Что известно о случае и чего нельзя утверждать

По опубликованному анализу Socket можно описать механизм атаки, дату публикации расширения и размер использованных переводов. Но в исследовании не указаны подтвержденное число пострадавших и сумма ущерба. Также по собранным сведениям нельзя установить текущий статус доступности расширения в Chrome Web Store.

Это ограничивает выводы. Нельзя утверждать, что каждый, кто установил Safery, потерял деньги. Описанная передача фразы происходила при создании или импорте кошелька, а не автоматически от одного факта установки. Нельзя и превращать этот эпизод в доказательство взлома MetaMask или официального Ethereum-кошелька: речь идет о Safery, которое выдавало себя за ETH-кошелек.

Но отсутствие данных о числе жертв не делает механизм несущественным. Для защиты важен сам принцип: вредоносная программа может выглядеть функциональной, получить seed-фразу в рамках штатного сценария и передать ее способом, которого пользователь не ожидает увидеть при обычной проверке сети.

Как защитить seed-фразу от вредоносных приложений

Проверка начинается с источника установки. Открывайте страницу кошелька через официальный сайт разработчика или заранее сохраненную надежную ссылку. Сверяйте название, издателя и адрес страницы. Похожий логотип и знакомое слово в названии легко скопировать. Если расширение предлагают установить по ссылке из переписки, объявления или случайного видео, относитесь к этому как к отдельному риску, а не как к удобному сокращению пути.

Дальше полезно разделить действия по уровню риска:

1. Не вводите существующую seed-фразу в приложение, подлинность которого не подтверждена. Импорт дает программе сведения, необходимые для восстановления кошелька. Если вы сомневаетесь в расширении, остановитесь до ввода слов.

2. Храните фразу офлайн и отдельно от устройств, подключенных к интернету. Не делайте снимок экрана и не отправляйте мнемонику себе в почту или мессенджер. Офлайн-хранение уменьшает число каналов утечки, хотя не дает абсолютной гарантии: бумажная копия тоже может быть потеряна, прочитана или испорчена.

3. Не передавайте фразу поддержке и не вводите ее на сайте по входящей ссылке. Восстановление кошелька требует мнемоники, поэтому просьба прислать ее человеку или загрузить на неизвестную страницу фактически означает передачу контроля.

4. Используйте разные уровни хранения для разных задач. Горячий кошелек удобен для небольших повседневных операций, поскольку подключен к интернету. Для долгосрочного хранения аппаратный кошелек снижает риск раскрытия ключа браузерному приложению, но не отменяет необходимости проверять устройство, процедуру восстановления и адрес получателя.

5. Перед переводом проверяйте сеть и адрес. Ошибка в сети или подмена адреса может привести к потере средств. Сначала отправьте небольшую тестовую сумму, когда это уместно, и убедитесь, что она пришла по нужному адресу. Тест не доказывает безопасность самого кошелька, зато помогает выявить ошибку в маршруте перевода.

Если seed-фраза уже была введена в подозрительное расширение, безопаснее считать ее раскрытой. Не стоит полагаться на удаление расширения: уже переданные слова могут оставаться у того, кто их получил. Создайте новый кошелек в проверенной среде, сохраните новую фразу офлайн и переведите туда активы. Если старый кошелек использовался для нескольких сетей или аккаунтов, проверьте все связанные с этой фразой аккаунты. Новый кошелек должен иметь новую мнемонику: повторное использование скомпрометированной фразы ничего не меняет.

Двухфакторная аутентификация тоже полезна, но ее роль нужно понимать точно. Она может защитить учетную запись биржи или почты от входа постороннего человека. Она не заменяет seed-фразу и не блокирует доступ к кошельку, если злоумышленник уже получил ключ восстановления. Разные уязвимости требуют разных мер.

В этой истории нет основания объявлять небезопасными все расширения или все операции в блокчейне. Есть более приземленный вывод: криптокошелек — это программа, а не гарантия доверия. Safery показывало себя рабочим инструментом и передавало мнемонику через транзакции Sui. Поэтому основу защиты составляют проверенный источник установки, осторожность при импорте и офлайн-хранение фразы. В криптовалюте ответственность за ключи не исчезает после нажатия кнопки. Наоборот, именно там она начинается.