Вредоносные расширения Chrome: как подменяют MetaMask и другие криптокошельки

Google проверяет расширения автоматически, но злоумышленники обходят фильтры: публикуют безвредную версию, затем обновляют до вредоносной, или используют имена, похожие на оригинал («MetaMask Pro», «MetaMask Wallet Official»). Среднее время от публикации до удаления — от нескольких часов до нескольких дней. За это время расширение успевают установить тысячи пользователей. Нюанс: даже удалённое из Store расширение продолжает работать на устройствах, где оно уже установлено.

Официальный ID расширения MetaMask в Chrome — nkbihfbeogaeaoehlefnkodbefgpgknn. Проверить: chrome://extensions → включить «Режим разработчика» → найти расширение → скопировать ID. Если ID отличается — расширение поддельное, удалить немедленно. Официальный сайт MetaMask — metamask.io, ссылка на установку только оттуда. Нюанс: ID проверяет подлинность конкретной сборки, но не защищает от вредоносного обновления оригинального расширения — теоретически возможный, но редкий сценарий.

Четыре основных маркера: запрос seed-фразы при первом запуске без создания нового кошелька, нестандартный ID расширения, установка не с metamask.io, а с постороннего сайта или по рекламной ссылке, и запросы разрешений, избыточных для кошелька (доступ ко всем сайтам, чтение данных браузера). Настоящий MetaMask при создании нового кошелька никогда не просит ввести существующую seed-фразу на первом экране. Если просит — это кража (источник: finvex.ru/fejkovye-kriptokoshelki).

Действовать немедленно: открыть настоящий MetaMask (проверив ID), создать новый кошелёк с новой seed-фразой, перевести все активы на новый адрес как можно быстрее. Фронтраннинг-боты мониторят мемпул и могут опередить вас — используйте максимальную комиссию для скорости. Удалить фейковое расширение. Если средства уже ушли — они, как правило, невозвратны: блокчейн-транзакции необратимы. Сообщите об инциденте в Google через страницу расширения.

Дренер — скрипт, который после получения доступа к кошельку (через approve или прямой компрометации ключей) автоматически выводит все активы. Фейковое расширение передаёт приватный ключ или seed-фразу дренеру, тот генерирует транзакции на вывод всех токенов, NFT и ETH. Процесс занимает секунды. Современные дренеры умеют выбирать наиболее ценные активы и обходить лимиты газа. Защита: никогда не вводить seed-фразу в браузере, использовать аппаратный кошелёк для хранения (bithide.io/blog/ru/security/secure-crypto-from-drainers).

Три актуальных вектора: расширения с отложенной активацией (работают нормально несколько недель, затем активируют вредоносный код после обновления), клонирование через сидбар-расширения (встраиваются в интерфейс браузера рядом с оригиналом), и атаки через compromised dependencies — вредоносный код внедряется в библиотеки, которые использует легитимное расширение. Против последнего сценария помогает только аппаратный кошелёк — он подписывает транзакцию независимо от браузера (karcrypto.com/ru/blog/novye-vidy-skama-2026).

Частично. Высокий рейтинг снижает, но не исключает риск: отзывы можно накрутить, а рейтинг оригинального расширения остаётся высоким пока Google не удалит вредоносную версию. Единственный надёжный критерий — ID расширения и источник установки.