Un wallet a estensione del browser è comodo: vive a un clic di distanza, firma le transazioni in linea e si connette alle dapp tramite un provider iniettato o WalletConnect. Quella comodità ha un costo. Un'estensione è codice che gira dentro il tuo browser con il permesso di vedere e modificare le pagine che visiti — e gli attaccanti lo sanno. Se pratichi la self-custody, il browser fa parte del tuo modello di minaccia, e l'igiene delle estensioni è una delle abitudini più economiche e ad alto impatto che tu possa costruire.
Questa guida spiega perché le estensioni sono un bersaglio così allettante, le poche regole che riducono la tua superficie d'attacco, cosa fa LavaMoat e perché l'estensione di SSP è costruita con esso, e come il multisig 2 di 2 di SSP argina anche un'estensione completamente compromessa. Nuovo nella categoria? Inizia da Wallet a estensione del browser spiegati, poi torna qui.
Perché un'estensione del browser è un bersaglio ghiotto
Le estensioni girano con permessi ampi. Una tipica estensione wallet può leggere e modificare il contenuto delle pagine che carichi, osservare ciò che digiti e raggiungere gli appunti. Queste capacità sono esattamente ciò di cui un wallet ha bisogno per iniettare un provider e mostrare una richiesta di firma — ed esattamente ciò che vuole un attaccante.
Considera cosa può fare un'estensione malevola o compromessa senza mai toccare la tua seed phrase:
- Sostituire un indirizzo copiato. Copi un indirizzo di ricezione; l'estensione riscrive gli appunti in modo che l'indirizzo che incolli appartenga all'attaccante. Questo schema di clipboard-hijacking è vecchio, affidabile e invisibile.
- Iniettare script in una dapp. Può alterare la pagina che vedi, cambiando l'importo o la destinazione di una transazione mentre mostra i valori che ti aspettavi.
- Leggere ciò che c'è sul tuo schermo. Saldi, indirizzi e qualsiasi altra cosa sulla pagina sono leggibili. Combinata con una pagina di phishing, quell'intelligence rende l'esca molto più convincente — vedi Attacchi di phishing contro gli utenti crypto.
L'economia è brutale: una sola estensione popolare può raggiungere milioni di utenti in una volta, quindi compromettere un singolo editore vale uno sforzo enorme. La versione più pericolosa non è un falso che installi per errore — è un'estensione legittima di cui già ti fidi che diventa ostile dopo un aggiornamento.
Le regole di igiene
Non puoi rendere un browser perfettamente sicuro, ma puoi renderlo un bersaglio scadente. Il principio è il privilegio minimo: meno estensioni, permessi più ristretti e una netta separazione tra il tuo browser per la crypto e tutto il resto.
Riduci al minimo ciò che installi
Ogni estensione è superficie d'attacco e una dipendenza della catena di fornitura che non hai scritto tu. Installane il meno possibile, preferisci progetti ben noti con un lungo curriculum e rimuovi tutto ciò che hai smesso di usare. Un wallet più un bridge per hardware wallet sono più che sufficienti; una dozzina di add-on per la produttività che condividono un browser con i tuoi fondi no.
Usa un profilo del browser dedicato
Crea un profilo del browser separato — o un browser separato — usato solo per la crypto, con installata solo la tua estensione wallet. Il cercatore di coupon, lo strumento di screenshot e la casuale barra laterale "AI" vivono nel tuo profilo di tutti i giorni, dove non possono leggere la pagina mentre firmi una transazione. Questa singola modifica elimina la maggior parte del rischio quotidiano con quasi nessuno sforzo.
Controlla permessi e aggiornamenti
Quando installi o aggiorni un'estensione, leggi la richiesta di permessi invece di cliccarci attraverso. "Leggere e modificare tutti i tuoi dati su tutti i siti web" è normale per un wallet e allarmante per una calcolatrice. L'aggiornamento automatico è un autentico rischio della catena di fornitura: la build che hai verificato lunedì non è la build che viene rilasciata giovedì, e un manutentore o una dipendenza compromessi possono inviare codice malevolo direttamente al tuo browser. Non puoi rivedere a mano ogni aggiornamento, quindi prediligi estensioni il cui modello di sicurezza presuppone che le loro stesse dipendenze possano corrompersi — che è esattamente ciò che fornisce LavaMoat. Per lo schema più ampio, leggi Attacchi alla catena di fornitura e build deterministiche.
Riconosci le estensioni wallet false
Gli store sono pieni di sosia: il nome giusto, un logo copiato, recensioni fabbricate e un editore di cui non hai mai sentito parlare. L'unico compito di un'estensione wallet falsa è catturare la tua seed phrase o sostituire una transazione. Prima di installare, verifica che l'editore corrisponda al sito ufficiale del progetto, controlla il numero di installazioni e la cronologia, e segui il link di download dal progetto stesso anziché dalla ricerca dello store. Le norme del programma del Chrome Web Store vietano l'impersonificazione, ma l'applicazione è in ritardo rispetto alla pubblicazione — tratta lo store come un punto di partenza, non come una garanzia. E non digitare mai la tua seed phrase in un popup di un'estensione.
Cosa fa LavaMoat (e perché SSP lo usa)
Le moderne web app sono assemblate da centinaia di pacchetti di terze parti, ognuno dei quali potrebbe essere compromesso. LavaMoat è un insieme di strumenti open-source che irrobustisce JavaScript proprio contro questo: isola in una sandbox ogni dipendenza di terze parti nel proprio ambiente ristretto e impone una policy esplicita su ciò a cui ogni pacchetto può accedere. Un singolo pacchetto avvelenato non può più attraversare l'app per leggere le tue chiavi, manomettere una transazione o esfiltrare dati — è confinato alla stretta superficie che la sua policy consente.
Questo conta perché gli attacchi alla catena di fornitura prendono di mira la dipendenza, non il progetto in primo piano. L'estensione del browser di SSP è costruita con LavaMoat, quindi anche se una dipendenza transitiva viene compromessa a monte, il raggio dell'esplosione è contenuto anziché consegnare le chiavi del tuo wallet. È difesa in profondità applicata all'unico rischio che non puoi verificare personalmente: il codice che hanno scritto altre persone. Sul perché questa classe di attacchi si meriti un proprio manuale, OWASP cataloga i rischi della catena di fornitura e di injection nelle sue linee guida su owasp.org.
Dove il 2 di 2 di SSP argina un'estensione malevola
Ecco il punto onesto e portante. Supponi che il caso peggiore accada comunque e che la tua estensione del browser sia completamente compromessa. Può ancora fare solo metà del lavoro.
SSP è un multisig 2 di 2. Ogni transazione richiede due firme indipendenti — una dall'estensione del browser e una dalla SSP Key sul tuo telefono, un dispositivo separato con il proprio schermo. Un'estensione compromessa può costruire una transazione malevola, ma non può produrre la seconda firma. Quando la richiesta raggiunge il tuo telefono, vedi la destinazione e l'importo reali su una superficie che l'estensione non controlla, e la rifiuti. All'attaccante resta una firma su una transazione che non verrà mai trasmessa.
È un argine reale e strutturale, non uno slogan di marketing — ed è esattamente il motivo per cui due superfici di approvazione indipendenti battono una sola. Non è nemmeno una licenza per usare un browser sporco. La seconda chiave protegge il momento della firma; non ferma una sostituzione degli appunti che confermi a mano, e non annulla le cattive abitudini altrove. Trattala come la tua ultima linea di difesa, non come l'unica. Per vedere dove anche il multisig ha dei limiti, leggi Modalità di fallimento del multisig e come SSP le mitiga e Cosa succede se una delle tue chiavi viene compromessa.
Un rapido audit delle estensioni
Eseguilo in cinque minuti oggi, poi una volta a trimestre:
- Apri la pagina delle estensioni del tuo browser ed elenca tutto ciò che è installato.
- Rimuovi ogni estensione che non hai usato nell'ultimo mese.
- Per ciascuna sopravvissuta, conferma che l'editore corrisponda al sito ufficiale del progetto.
- Controlla i permessi che ciascuna detiene e disinstalla tutto ciò che è sovra-privilegiato rispetto a ciò che fa.
- Sposta il tuo wallet in un profilo dedicato, riservato alla crypto, se non è già lì.
- Conferma che la tua estensione wallet provenga dalla fonte ufficiale e, dove disponibile, sia irrobustita con LavaMoat.
Continua
L'igiene del browser è uno strato. Abbinala alla consapevolezza del phishing, a una conservazione sensata della seed phrase e a una chiara comprensione di come sono divise le chiavi del tuo wallet. Abitudini solide più l'architettura 2 di 2 di SSP fanno sì che una singola estensione malevola sia un fastidio, non una catastrofe — ma le abitudini devono comunque essere tue.
