Portfel w postaci rozszerzenia przeglądarki jest wygodny: jest oddalony o jedno kliknięcie, podpisuje transakcje bezpośrednio i łączy się z dapps przez wstrzyknięty provider lub WalletConnect. Ta wygoda ma swoją cenę. Rozszerzenie to kod działający wewnątrz Twojej przeglądarki, z uprawnieniem do odczytu i zmiany odwiedzanych stron — a atakujący o tym wiedzą. Jeśli samodzielnie przechowujesz środki, przeglądarka jest częścią Twojego modelu zagrożeń, a higiena rozszerzeń to jeden z najtańszych i najbardziej opłacalnych nawyków, jakie możesz wyrobić.
Ten przewodnik wyjaśnia, dlaczego rozszerzenia są tak kuszącym celem, przedstawia garść zasad zmniejszających powierzchnię ataku, opisuje, co robi LavaMoat i dlaczego rozszerzenie SSP jest na nim zbudowane, oraz pokazuje, jak multisig 2 z 2 SSP zabezpiecza nawet w pełni przejęte rozszerzenie. Dopiero zaczynasz w tej kategorii? Zacznij od Portfele w postaci rozszerzeń przeglądarki — wyjaśnienie, a potem wróć tutaj.
Dlaczego rozszerzenie przeglądarki to łakomy kąsek
Rozszerzenia działają z szerokimi uprawnieniami. Typowe rozszerzenie portfela może odczytywać i modyfikować zawartość ładowanych stron, śledzić to, co wpisujesz, oraz sięgać do schowka. Te możliwości są dokładnie tym, czego portfel potrzebuje, by wstrzyknąć provider i wyświetlić prośbę o podpis — i dokładnie tym, czego chce atakujący.
Zastanów się, co złośliwe lub przejęte rozszerzenie może zrobić, nigdy nie dotykając Twojej frazy seed:
- Podmienia skopiowany adres. Kopiujesz adres do odbioru; rozszerzenie nadpisuje schowek, tak że wklejony adres należy do atakującego. Ten schemat przejmowania schowka jest stary, niezawodny i niewidoczny.
- Wstrzykuje skrypty do dapp. Może zmienić stronę, którą widzisz, modyfikując kwotę lub adres docelowy transakcji, jednocześnie wyświetlając wartości, których się spodziewałeś.
- Odczytuje to, co masz na ekranie. Salda, adresy i wszystko inne na stronie da się odczytać. W połączeniu ze stroną phishingową te informacje czynią przynętę znacznie bardziej przekonującą — zobacz Ataki phishingowe wymierzone w użytkowników kryptowalut.
Ekonomia jest bezwzględna: jedno popularne rozszerzenie może dotrzeć jednocześnie do milionów użytkowników, więc przejęcie pojedynczego wydawcy jest warte ogromnego wysiłku. Najgroźniejsza wersja to nie podróbka zainstalowana przez pomyłkę — to legalne rozszerzenie, któremu już ufasz, a które staje się wrogie po aktualizacji.
Zasady higieny
Nie da się uczynić przeglądarki idealnie bezpieczną, ale można sprawić, by była kiepskim celem. Zasada to najmniejsze uprawnienia: mniej rozszerzeń, węższe uprawnienia i czysty rozdział między przeglądarką do kryptowalut a całą resztą.
Ograniczaj to, co instalujesz
Każde rozszerzenie to powierzchnia ataku i zależność w łańcuchu dostaw, której nie napisałeś. Instaluj ich tak mało, jak tylko możesz, wybieraj znane projekty z długą historią i usuwaj wszystko, czego przestałeś używać. Portfel oraz mostek do portfela sprzętowego w zupełności wystarczą; tuzin dodatków zwiększających produktywność dzielących przeglądarkę z Twoimi środkami — już nie.
Używaj dedykowanego profilu przeglądarki
Utwórz osobny profil przeglądarki — albo osobną przeglądarkę — używaną wyłącznie do kryptowalut, z zainstalowanym tylko rozszerzeniem portfela. Wyszukiwarka kuponów, narzędzie do zrzutów ekranu i przypadkowy pasek boczny „AI” niech zostaną w Twoim codziennym profilu, gdzie nie mogą odczytać strony, podczas gdy Ty podpisujesz transakcję. Ta jedna zmiana usuwa większość codziennego ryzyka niemal bez wysiłku.
Sprawdzaj uprawnienia i aktualizacje
Gdy instalujesz lub aktualizujesz rozszerzenie, czytaj prośbę o uprawnienia, zamiast ją przeklikiwać. „Odczyt i zmiana wszystkich Twoich danych na wszystkich stronach” jest normalne dla portfela, a niepokojące dla kalkulatora. Automatyczne aktualizacje to realne ryzyko w łańcuchu dostaw: kompilacja, którą sprawdziłeś w poniedziałek, to nie ta sama, która trafia do Ciebie w czwartek, a przejęty opiekun lub zależność może wepchnąć złośliwy kod prosto do Twojej przeglądarki. Nie sprawdzisz ręcznie każdej aktualizacji, więc wybieraj rozszerzenia, których model bezpieczeństwa zakłada, że ich własne zależności mogą okazać się złe — a dokładnie to zapewnia LavaMoat. Szerszy schemat opisano w artykule Ataki na łańcuch dostaw i kompilacje deterministyczne.
Rozpoznawaj fałszywe rozszerzenia portfeli
Sklepy są pełne podróbek: właściwa nazwa, skopiowane logo, sfabrykowane opinie i wydawca, o którym nigdy nie słyszałeś. Jedynym zadaniem fałszywego rozszerzenia portfela jest przechwycenie Twojej frazy seed lub podmiana transakcji. Przed instalacją sprawdź, czy wydawca zgadza się z oficjalną stroną projektu, sprawdź liczbę instalacji i historię oraz korzystaj z linku do pobrania pochodzącego od samego projektu, a nie z wyszukiwarki sklepu. Zasady programu Chrome Web Store zakazują podszywania się, ale egzekwowanie pozostaje w tyle za publikacją — traktuj sklep jako punkt wyjścia, a nie gwarancję. I nigdy nie wpisuj swojej frazy seed w wyskakującym okienku rozszerzenia.
Co robi LavaMoat (i dlaczego SSP go używa)
Nowoczesne aplikacje internetowe są składane z setek pakietów innych firm, z których każdy może zostać przejęty. LavaMoat to otwartoźródłowy zestaw narzędzi, który utwardza JavaScript właśnie przed tym: izoluje każdą zależność innej firmy w jej własnym ograniczonym środowisku i egzekwuje jawną politykę tego, do czego każdy pakiet ma dostęp. Pojedynczy zatruty pakiet nie może już sięgnąć przez całą aplikację, by odczytać Twoje klucze, zmanipulować transakcję czy wykraść dane — jest ograniczony do wąskiej powierzchni, na którą pozwala jego polityka.
To ma znaczenie, bo ataki na łańcuch dostaw celują w zależność, a nie w sztandarowy projekt. Rozszerzenie przeglądarki SSP jest zbudowane z LavaMoat, więc nawet jeśli przechodnia zależność zostanie przejęta po stronie źródła, zasięg rażenia pozostaje ograniczony, zamiast wręczać klucze do Twojego portfela. To obrona w głąb zastosowana wobec jedynego ryzyka, którego nie jesteś w stanie samodzielnie zaudytować: kodu napisanego przez innych ludzi. Dlaczego ta klasa ataków zasługuje na własny zestaw procedur — OWASP kataloguje ryzyka łańcucha dostaw i wstrzykiwania w swoich wytycznych na owasp.org.
Gdzie 2 z 2 SSP zabezpiecza przed złym rozszerzeniem
Oto uczciwy, kluczowy punkt. Załóżmy, że mimo wszystko dochodzi do najgorszego i Twoje rozszerzenie przeglądarki zostaje w pełni przejęte. Nadal może wykonać tylko połowę zadania.
SSP to multisig 2 z 2. Każda transakcja wymaga dwóch niezależnych podpisów — jednego z rozszerzenia przeglądarki i jednego z SSP Key na Twoim telefonie, osobnym urządzeniu z własnym ekranem. Przejęte rozszerzenie może zbudować złośliwą transakcję, ale nie jest w stanie wytworzyć drugiego podpisu. Gdy żądanie dociera do Twojego telefonu, widzisz prawdziwy adres docelowy i kwotę na powierzchni, której rozszerzenie nie kontroluje, i je odrzucasz. Atakującemu zostaje jeden podpis na transakcji, która nigdy nie zostanie rozgłoszona.
To realne, strukturalne zabezpieczenie, a nie marketingowy slogan — i właśnie dlatego dwie niezależne powierzchnie zatwierdzania biją jedną. To również nie jest licencja na używanie brudnej przeglądarki. Drugi klucz chroni moment podpisywania; nie powstrzyma podmiany schowka, którą potwierdzasz własnoręcznie, i nie cofnie złych nawyków gdzie indziej. Traktuj go jako ostatnią linię obrony, a nie jedyną. Aby zobaczyć, gdzie nawet multisig ma swoje granice, przeczytaj Tryby awarii multisig i jak SSP je łagodzi oraz Co się dzieje, gdy jeden z Twoich kluczy zostanie przejęty.
Szybki audyt rozszerzeń
Przeprowadź go dziś w pięć minut, a potem raz na kwartał:
- Otwórz stronę rozszerzeń swojej przeglądarki i wypisz wszystko, co zainstalowane.
- Usuń każde rozszerzenie, którego nie używałeś w ciągu ostatniego miesiąca.
- Przy każdym, które zostało, potwierdź, że wydawca zgadza się z oficjalną stroną projektu.
- Sprawdź uprawnienia każdego z nich i odinstaluj wszystko, co ma zbyt szerokie uprawnienia w stosunku do swojego zadania.
- Przenieś swój portfel do dedykowanego profilu przeznaczonego wyłącznie do kryptowalut, jeśli jeszcze tam nie jest.
- Potwierdź, że rozszerzenie portfela pochodzi z oficjalnego źródła i — tam, gdzie to możliwe — jest utwardzone za pomocą LavaMoat.
Działaj dalej
Higiena przeglądarki to jedna warstwa. Połącz ją ze świadomością phishingu, rozsądnym przechowywaniem frazy seed i jasnym zrozumieniem, jak rozdzielone są klucze Twojego portfela. Mocne nawyki plus architektura 2 z 2 SSP sprawiają, że pojedyncze złe rozszerzenie to niedogodność, a nie katastrofa — ale te nawyki wciąż muszą być Twoje.
