## Chrome поширення фальшивих гаманців для шахрайства: як використовується блокчейн для приховування крадіжки мнемонічних фраз

Криптоспільнота стикається з прихованою, але смертельною загрозою — ретельно підроблені розширення для браузера, які займають високі позиції у пошукових запитах у Chrome Web Store. Розширення під назвою "Safery: Ethereum Wallet" раніше займало четверте місце у результатах пошуку, виглядаючи досить переконливо для більшості новачків. Аналіз таких організацій, як Socket, розкриває шокуючу правду: цей шахрайський інструмент використовує Sui-блокчейн як таємний канал, закодовуючи викрадені мнемонічні фрази у вигляді звичайних мікроплатежів.

### Як витончені фальшиві особистості проходять перевірку Chrome

Хитрість "Safery" полягає в тому, що вона не копіює відомі бренди, такі як MetaMask або Phantom. Навпаки, вона створює цілком незалежний новий образ із чистими іконками, офіційним описом функцій та великою кількістю фальшивих п’ятизіркових відгуків. Такий підхід усуває червоні прапорці, характерні для підробок.

Алгоритм пошукової видачі у Chrome Web Store не здатен ефективно протистояти цьому. Основні критерії — відповідність ключових слів, зростання кількості встановлень, швидкість отримання відгуків і новизна часу завантаження. Коли нове розширення швидко отримує багато відгуків (часто шаблонізованих), і конкуренти оновлюються повільно, алгоритм швидко підвищує його у рейтингу. "Safery" використовує цю вразливість, купуючи або автоматично генеруючи фальшиві відгуки, швидко піднімаючись у нішевих категоріях без реальної конкуренції.

Google все ще має слабкі місця у перевірці нових розширень. Зазвичай система виконує короткий автоматичний сканінг і базовий статичний аналіз. Лише при запитах доступу до вкладок, буфера обміну, файлової системи або історії — активується більш строгий ручний огляд. Гаманцеві додатки зазвичай обходять ці обмеження, працюючи у iframe або використовуючи дозволені API. "Safery" застосовує ту ж тактику, вимагаючи запуску "на всіх сайтах" (що характерно для децентралізованих гаманців), але не запитуючи додаткових підозрілих дозволів.

### Як крадіжки приховуються у транзакціях Sui-блокчейну

Реальна крадіжка трапляється у момент введення користувачем мнемонічної фрази. На відміну від традиційних троянів, що відправляють дані на зловмисний сервер, "Safery" використовує більш прихований підхід: вона розбиває мнемонічну фразу на фрагменти, закодовані у випадкові адреси гаманців, і ховає ці фрагменти у транзакціях Sui-блокчейну.

Конкретний сценарій — ця розширення відправляє малі транзакції з мінімальним обсягом SUI-токенів, що не викликає підозр. Адреса зловмисника виступає отримувачем. Вкрадені фрагменти фраз маскуються у коментарях до транзакцій або у заплутаних адресах. Як тільки дані потрапляють у блокчейн, вони стають назавжди доступними, і зловмисник може у будь-який час відновити повну мнемонічну фразу і очистити гаманець без контакту з пристроєм жертви.

Ця методика має тактичну перевагу: розширення не потребує запитів до зовнішніх серверів, що ускладнює виявлення командних центрів або витіків через HTTP або WebSockets. Вихідні дані — виглядають як звичайні транзакції у блокчейні, що мають низьку вартість і швидкий підтвердження у Sui. Насправді, шахраї використовують сам Sui-блокчейн як прихований канал зв’язку.

Socket відслідкував кілька таких транзакцій і підтвердив причинно-наслідковий зв’язок між введенням мнемонічної фрази і кінцевими втратами активів. Хоча крадіжка коштів може статися у Ethereum або інших Layer 1 мережах, де зберігаються активи жертви, весь командний сценарій прихований у публічних даних.

### Структурні слабкості системи ранжування браузерів

Успіх "Safery" виявив глибоку вразливість у логіці ранжування Chrome Web Store. Алгоритм пошуку сильно залежить від кількісних показників — відповідності ключових слів, швидкості зростання активності, кривої зростання оцінок — які легко маніпулювати фальшивими відгуками і скоординованими установками.

У нішевих категоріях, таких як гаманці, новий додаток із швидким зростанням кількості відгуків може за кілька днів піднятися у топ. До того ж, Google не проводить систематичний ручний огляд нових розширень, тому шахраї можуть таємно тестувати свої техніки перед запуском, щоб уникнути спрацьовування автоматичних систем.

Затримка між повідомленнями користувачів і зняттям розширень з магазину — структурна проблема: Chrome не реагує миттєво на позначені підозрілі додатки, якщо не сформується масовий консенсус або не виявляться відомі ознаки шкідливого ПЗ. Водночас, "Safery" використовує обфускацію JavaScript і кодування у блокчейні, що ускладнює їх виявлення за допомогою традиційних антивірусних засобів. Навіть якщо користувачі на Reddit або Telegram повідомляють про підозрілі дії, "Safery" зберігає високий рейтинг.

### Як користувачам розпізнати та захиститися

Безпека починається з багаторівневих заходів. Перед встановленням будь-якого криптозовнішнього розширення користувачі мають перевірити: історію та особу розробника, чи є багато однакових текстів у відгуках, чи є посилання на офіційний GitHub, і чи не містить сторінка дозволів надмірних або нечітких запитів.

Навіть після зараження є час для дій. Швидко видалити розширення, відкликати всі дозволи на токени, перенести активи на новий гаманець з чистого пристрою, слідкувати за адресами — ці кроки допоможуть обмежити збитки. Однак для тих, хто не помітив швидко або зберігає великі суми у гарячих гаманцях, шанс повернути кошти майже відсутній.

### Довгострокові системні рішення

Фахівці з безпеки закликають Chrome посилити автоматичне виявлення розширень, що містять UI для введення мнемонічних фраз із 12 або 24 слів. Ще одна рекомендація — вимагати від розробників гаманців підтвердження особи, надання доказів контролю над відомими брендами. Посилення перевірки дозволів, пов’язаних із гаманцями, також є необхідним, навіть якщо ці дозволи не містять очевидних шкідливих сценаріїв.

Розробники гаманців переосмислюють стратегії поширення. Деякі вже не рекомендують встановлювати з Chrome Web Store і переходять на мобільні додатки або десктопні клієнти. Інші вводять попередження для користувачів, що встановлюють з невідомих джерел.

Інцидент з "Safery" відображає глибоку проблему: канали поширення дуже розпорошені, і більшість криптоспільноти не може ефективно відрізнити офіційний гаманець від ретельно підробленого. Браузерне середовище за своєю природою є високоризиковим — легко піддається маніпуляціям розширень, захопленню сесій, крадіжкам з буфера обміну, а тепер ще й прихованим витокам даних із блокчейну. Коли гаманцеві додатки використовують вразливості алгоритмів ранжування для підвищення у пошукових результатах, межа між довірою і безпекою стає розмитою. Чисті назви, високі оцінки і офіційний вигляд вже не гарантія безпеки. Користувачам потрібно усвідомлювати, що обіцянка Web3 — самостійне зберігання активів — у руках неправильних інструментів може перетворитися на зовсім протилежну небезпеку.