Fałszywe e-maile MetaMask: jak je rozpoznać i chronić portfel

Otwierają Państwo skrzynkę odbiorczą i widzą e-mail, który wygląda, jakby przyszedł od MetaMask. Logo się zgadza, układ jest staranny, a wiadomość brzmi pilnie: trzeba zweryfikować portfel, uniknąć zawieszenia albo potwierdzić tajną frazę odzyskiwania w związku z aktualizacją zabezpieczeń. Wygląda autentycznie, bo właśnie tak ma wyglądać. To e-mail phishingowy, a strona, do której prowadzi jego przycisk, służy do przejęcia kontroli nad portfelem.

Można przeczytać, że MetaMask nigdy nie wysyła e-maili. To zbyt ogólne stwierdzenie. MetaMask może wysłać wiadomość w sprawie zgłoszenia otwartego przez Państwa w pomocy technicznej, a newslettery i informacje o MetaMask Card wysyła osobom, które się na nie zapisały. Nigdy natomiast nie inicjuje kontaktu. Nie wysyła niezamówionych e-maili, nigdy nie prosi e-mailem o tajną frazę odzyskiwania, hasło ani dane konta Google lub Apple i nigdy nie wzywa do weryfikacji, uaktualnienia ani przywrócenia portfela. E-mail, który robi którąkolwiek z tych rzeczy, jest oszustwem, nawet jeśli wygląda na prawdziwy.

Dlaczego fałszywe e-maile MetaMask są skuteczne

MetaMask to oczywisty cel. Według własnego opisu jest najczęściej używanym portfelem niepowierniczym, z ponad 100 milionami pobrań, więc fałszywy e-mail od „MetaMask” wysłany na dużą listę adresów trafia do wielu osób, które naprawdę z niego korzystają.

Wiele z nich lepiej zna konta na giełdach niż portfele. Giełda powiernicza przechowuje monety w Państwa imieniu, dlatego zna adres e-mail, może zamrozić konto i wysyła wiadomości dotyczące konta. Portfel niepowierniczy (ang. self-custodial lub non-custodial) pozostawia klucze w Państwa rękach. Konta istnieją w blockchainie, a nie u MetaMask, więc MetaMask nie ma czego zawieszać ani weryfikować. Oszuści liczą na to, że wiele osób nie zna tej różnicy.

E-maile grają też na emocjach. Termin w rodzaju „your wallet will be locked in 24 hours” (portfel zostanie zablokowany za 24 godziny) skłania do działania, zanim zdążą Państwo pomyśleć. Komunikat o „suspicious activity” (podejrzanej aktywności) sprawia, że kliknięcie wydaje się odpowiedzialnym krokiem, a prośba „update your security” (aktualizacja zabezpieczeń) brzmi rozsądnie, a nie podejrzanie. Każdy z tych chwytów odciąga uwagę od pytania, które kładzie kres oszustwu: czy ten adres e-mail został kiedykolwiek przekazany MetaMask, a jeśli tak, to w jakim celu?

Jak wyglądają fałszywe e-maile MetaMask

E-maile phishingowe wymierzone w osoby korzystające z MetaMask powielają kilka szablonów, a centrum pomocy MetaMask ostrzega przed tymi samymi pretekstami. Rozpoznanie szablonu to najlepsza obrona.

E-mail „verify your wallet”

Ta odmiana twierdzi, że MetaMask wymaga weryfikacji portfela, aby można było nadal z niego korzystać. Przycisk w rodzaju „Verify Now” albo „Confirm Wallet” prowadzi do fałszywej strony MetaMask, która prosi o tajną frazę odzyskiwania, czyli frazę seed stanowiącą kopię zapasową portfela. W chwili jej wpisania każde konto wyprowadzone z tej frazy przechodzi pod kontrolę oszustów i może zostać opróżnione. MetaMask podkreśla, że nigdy nie prosi o weryfikację konta.

Nowsza odmiana namawia do przejścia na smart account (konto inteligentne) i nazywa to „upgrade”. MetaMask rzeczywiście wyświetla propozycje przełączenia konta na smart account, ale wyłącznie w samym rozszerzeniu lub aplikacji mobilnej. E-mail albo strona, które naciskają na taki upgrade, nie pochodzą od MetaMask.

E-mail „security alert”

Ta wersja ostrzega, że w portfelu wykryto nieautoryzowaną aktywność albo że portfel został ograniczony, zablokowany lub zawieszony, i ponagla do zabezpieczenia go przez link. Link prowadzi do sklonowanej strony MetaMask, która przechwytuje wszystko, co się na niej wpisze. Jeśli e-mail podaje prawdziwe szczegóły transakcji, niczego to nie dowodzi: transakcje dowolnego adresu można zobaczyć w publicznym eksploratorze bloków.

E-mail „KYC requirement”

Ten e-mail twierdzi, że nowe przepisy zmuszają MetaMask do sprawdzenia Państwa tożsamości (KYC, skrót od ang. „know your customer”). Prosi o przesłanie dokumentów i połączenie portfela na zewnętrznej stronie. MetaMask nie ma własnej procedury KYC. Weryfikacja tożsamości może się pojawić przy zakupie kryptowalut w MetaMask lub przy składaniu wniosku o MetaMask Card. Taka weryfikacja jest częścią konkretnego zakupu lub wniosku o kartę i prowadzi ją dostawca danej usługi, dlatego warto sprawdzić, czy wiadomość dotyczy rzeczywiście zamówionej usługi. Żadna weryfikacja tożsamości, prawdziwa czy fałszywa, nie jest powodem do ujawnienia frazy odzyskiwania ani klucza prywatnego.

E-mail „airdrop” lub „reward”

Ten e-mail obiecuje darmowe tokeny, retroaktywny airdrop albo nagrodę za lojalność wobec MetaMask, pod warunkiem połączenia portfela na podlinkowanej stronie. MetaMask niczego nie rozdaje: żadnych tokenów, NFT, airdropów ani przypadkowych akcji typu giveaway. Strona do odbioru nagrody prosi albo o frazę odzyskiwania, albo o podpisanie zatwierdzenia tokenu, które daje jej uprawnienie do przejęcia tokenów, zamiast cokolwiek przysłać. To zatwierdzenie zostaje zapisane w blockchainie, więc działa także po zamknięciu strony, dopóki nie zostanie odwołane.

Fałszywa odpowiedź pomocy technicznej

Niektóre oszustwa są wymierzone w osoby, które naprawdę skontaktowały się z MetaMask. MetaMask ostrzega, że oszuści kontaktowali się z osobami, które miały otwarte zgłoszenia, i prosili je o tajną frazę odzyskiwania. Prawdziwe e-maile w sprawie zgłoszeń przychodzą wyłącznie z adresu support@metamask.io, dotyczą tylko sprawy otwartej przez Państwa na czacie w centrum pomocy i nigdy nie zawierają prośby o frazę. Pomoc techniczna MetaMask nigdy nie odzywa się pierwsza, nie ma numeru telefonu i nie kontaktuje się przez WhatsApp, Telegram, Instagram, SMS-y ani wiadomości prywatne na X.

Jak rozpoznać fałszywy e-mail od MetaMask

Bez otwartego zgłoszenia, konta na forum Community czy zapisu na e-maile od MetaMask każda wiadomość, która podaje się za e-mail od MetaMask, jest fałszywa, nawet jeśli wygląda profesjonalnie. Jeśli któryś z tych warunków jest spełniony, prawdziwą wiadomość od kopii pozwolą odróżnić poniższe kroki.

Porównanie nadawcy z oficjalnymi adresami MetaMask

MetaMask wymienia sześć adresów, z których wysyła e-maile. Aby zobaczyć pełny adres, wystarczy kliknąć nazwę nadawcy lub najechać na nią kursorem, bo wyświetlaną nazwę, taką jak „MetaMask Support”, można ustawić dowolnie.

E-maile phishingowe zwykle przychodzą z adresów łudząco podobnych do oryginału: z domeny, która dodaje do nazwy marki słowo takie jak „support” czy „security”, z domeny z inną końcówką, np. .team zamiast .io, albo z długiej domeny, która jedynie zaczyna się od metamask.io (metamask.io.example.net należy do example.net, a nie do MetaMask). Zgodny adres to dobry znak, ale sam w sobie nie dowodzi, że e-mail jest prawdziwy. Rozstrzyga to, do czego wiadomość nakłania.

Dokąd prowadzi link i dlaczego lepiej z niego nie korzystać

Przed kliknięciem warto najechać kursorem na link. Większość programów pocztowych pokazuje wtedy rzeczywisty adres docelowy na dole okna lub w dymku podpowiedzi. Jeśli prowadzi on gdzie indziej niż do metamask.io lub którejś z subdomen tej domeny, np. support.metamask.io, należy zachować ostrożność. Nawet link, który wygląda poprawnie, może wprowadzać w błąd, bo niektóre aplikacje pocztowe nie pokazują prawdziwego celu. Prawdziwe e-maile od MetaMask mogą zawierać linki, na przykład do potwierdzenia nowego konta na forum Community, ale do zarządzania portfelem żaden link nigdy nie jest potrzebny.

Dlatego prośbę warto potwierdzić inną drogą. Proszę wpisać support.metamask.io w przeglądarce lub skorzystać z zakładki, a następnie porównać prośbę z istniejącym zgłoszeniem lub używaną usługą. Jeśli nie pasuje albo pojawiają się wątpliwości, proszę rozpocząć czat przyciskiem „Contact Support” na stronie głównej centrum pomocy i zapytać, czy e-mail jest prawdziwy.

Uwaga na presję i groźby bez pokrycia

Wiarygodne serwisy rzadko wyznaczają e-mailem 24-godzinne terminy albo grożą zawieszeniem konta. W przypadku MetaMask groźba jest w dodatku pusta: konta istnieją w publicznym blockchainie, a nie na serwerach MetaMask, a według MetaMask nie można ich usunąć ani ograniczyć. Presja czasu wokół portfela to z założenia sygnał ostrzegawczy.

Czy sam MetaMask jest oszustwem?

Nie. MetaMask to wiarygodny portfel niepowierniczy, używany od 2016 roku. Tworzy go Consensys Software Inc., spółka, która obecnie działa pod nazwą MetaMask, a kod źródłowy rozszerzenia przeglądarki jest publicznie dostępny w serwisie GitHub. Oszustwa nie pochodzą od MetaMask, tylko od przestępców, którzy się pod MetaMask podszywają, aby dotrzeć do osób z niego korzystających.

To rozróżnienie ma największe znaczenie przy instalacji. MetaMask istnieje wyłącznie jako rozszerzenie przeglądarki i aplikacja mobilna, a firma zaleca pobieranie go tylko przyciskiem „Install” na stronie metamask.io/download albo z oficjalnego sklepu przeglądarki lub telefonu. Kopia z innego źródła może być przygotowana tak, by wykraść wpisaną frazę. I żaden portfel, nawet najlepiej wykonany, nie powstrzyma Państwa przed wpisaniem frazy odzyskiwania na fałszywej stronie.

Co zrobić po kliknięciu linku phishingowego

Dalszy krok zależy od tego, co stało się po kliknięciu. Otwarcie strony, zatwierdzenie transakcji i wpisanie frazy wymagają różnych reakcji.

Wiadomość została tylko przeczytana albo strona tylko otwarta

Samo to nie ujawnia kluczy. Niebezpieczne jest to, co zostanie na stronie wpisane lub zatwierdzone, a taka strona często służy do wyłudzenia tajnej frazy odzyskiwania. Jeśli nic nie zostało wpisane ani zatwierdzone, portfel jest najprawdopodobniej bezpieczny. Należy zamknąć stronę. Jeśli pobrano plik, nie należy go otwierać, a komputer warto przeskanować w poszukiwaniu złośliwego oprogramowania. Warto zanotować, co się stało i kiedy, oraz przez kilka następnych dni obserwować aktywność na kontach.

Portfel został połączony lub transakcja zatwierdzona

Połączenie portfela nie jest tym samym co zgoda na wydawanie tokenów. Dzięki połączeniu strona widzi publiczny adres i salda oraz może proponować transakcje, które trzeba samodzielnie potwierdzić. Zatwierdzenie tokenu idzie dalej: pozwala smart kontraktowi przenosić określony token z portfela, często w nieograniczonej ilości, dopóki zatwierdzenie nie zostanie odwołane. Złośliwa strona może w ten sposób wyprowadzić te tokeny, nie znając nawet frazy.

Należy sprawdzić, co zostało podpisane i które zatwierdzenia są nadal aktywne. Odłączenie strony nie odwołuje zatwierdzenia. Odwołanie to osobna transakcja w blockchainie, która wymaga opłaty sieciowej (gaz) i nie cofa transferów, które już się odbyły. Poradnik MetaMask o odwoływaniu zatwierdzeń tokenów wskazuje funkcje sprawdzania zatwierdzeń w eksploratorach bloków, takich jak Etherscan, oraz narzędzia takie jak Revoke.cash. Należy otwierać je przez ten poradnik albo wpisując adres samodzielnie, nigdy przez link „revoke” w podejrzanej wiadomości.

Fraza odzyskiwania została już wpisana na podejrzanej stronie

Należy przyjąć, że bezpieczeństwo frazy i wszystkich kont, którymi ona zarządza, zostało naruszone. Zmiana lokalnego hasła MetaMask nic nie da, bo kto zna frazę, ten może przywrócić portfel na własnym urządzeniu. Wpisany klucz prywatny w ten sam sposób odsłania powiązane z nim konto. Nie należy wpłacać środków na naruszone konta. Wskazówki MetaMask dotyczące naruszonego portfela sprowadzają się do tego:

1. Zainstalować MetaMask w innej przeglądarce lub innym profilu przeglądarki albo na drugim urządzeniu mobilnym.
2. Utworzyć tam nowy portfel z nową tajną frazą odzyskiwania. Jeśli stary portfel korzystał z konta Google lub Apple, nie łączyć tego samego konta z nowym portfelem.
3. Zapisać nową frazę we właściwej kolejności i przechowywać ją offline.
4. Przesłać wszystko, co zostało w starym portfelu, do nowego.
5. Przestać używać starego portfela i wszystkich kont powiązanych z naruszoną frazą.

Szybkość ma znaczenie, ale skryptu nie da się wyprzedzić. Niektóre ataki wykorzystują boty typu sweeper, które niemal natychmiast wyprowadzają środki przychodzące na naruszony adres, dlatego przy podejrzeniu takiego bota nie należy wysyłać ETH do starego portfela na opłatę za gaz: bot przejmie także te środki. Poradnik MetaMask o botach typu sweeper omawia taką sytuację, a nasz przewodnik po odzyskiwaniu portfela MetaMask wyjaśnia, co zrobić po naruszeniu bezpieczeństwa.

Wpisano hasło lub dane logowania Google albo Apple

Ryzyko zależy od sposobu konfiguracji MetaMask. Jeśli portfel utworzono wyłącznie z tajną frazą odzyskiwania, hasło odblokowuje MetaMask na Państwa urządzeniu i samo w sobie nikomu nie daje dostępu do kont. Mimo to warto je zmienić. Jeśli portfel utworzono za pomocą konta Google lub Apple, to konto razem z hasłem MetaMask otwiera wszystkie konta. Jeśli fałszywa strona przechwyciła jedno i drugie, należy wykonać opisane wyżej kroki dla naruszonego portfela i zabezpieczyć także konto Google lub Apple.

Zgłoszenie e-maila i ewentualnej kradzieży

E-mail phishingowy należy zgłosić MetaMask przez czat „Contact Support” w centrum pomocy, podając adres nadawcy i użyty w nim link, a następnie oznaczyć go w programie pocztowym jako phishing i usunąć. W przypadku utraty środków poradnik MetaMask o zgłaszaniu oszustw wyjaśnia, jak oznaczyć adres oszustów w serwisie Etherscan i do których organów zajmujących się cyberprzestępczością się zwrócić; w Stanach Zjednoczonych jest to IC3 prowadzone przez FBI. Warto opisać, co zostało ujawnione, ale nigdy nie podawać samej frazy ani klucza.

Crypto Recovers nie przyjmuje spraw dotyczących skradzionych kryptowalut ani oszustw. Potwierdzonej transakcji w blockchainie nie można cofnąć, a FBI ostrzega, że za obietnicą odzyskania środków po oszustwie może stać kolejne oszustwo; nasz poradnik o tym, jak odróżnić rzetelne firmy odzyskujące kryptowaluty od fałszywych, pokazuje, jak działają takie oferty. Crypto Recovers przywraca dostęp prawowitym właścicielom, którzy go utracili, na przykład po zapomnieniu hasła do MetaMask, i nigdy nie przechowuje ani nie przenosi środków klientów. Jeśli to Państwa sytuacja, więcej informacji można znaleźć na stronie o odzyskiwaniu portfela MetaMask.

Jak chronić się w przyszłości

Najskuteczniejsza ochrona jest zarazem najprostsza: nigdy nie wpisywać frazy odzyskiwania nigdzie w internecie – ani w formularzu z e-maila, ani na stronie internetowej, ani w oknie czatu, ani w wyskakującym okienku. MetaMask wymienia tylko dwa uzasadnione momenty na jej wpisanie: przy tworzeniu portfela i potwierdzaniu, że fraza została zapisana, oraz przy przywracaniu portfela lub resetowaniu jego hasła w oficjalnym rozszerzeniu lub aplikacji. Każda inna sytuacja to najprawdopodobniej oszustwo.

Reszta to kwestia nawyków:

• Aktualizacje MetaMask powinny przychodzić przez przeglądarkę lub sklep z aplikacjami. Prawdziwa aktualizacja nigdy nie wymaga weryfikacji ani przywrócenia portfela przez e-mail.
• Warto dodać metamask.io i support.metamask.io do zakładek i otwierać je właśnie stamtąd, a nie z wyników wyszukiwania, reklam czy linków. Oszuści kupują reklamy wyświetlane nad prawdziwym wynikiem, co pokazuje nasz artykuł o sygnałach ostrzegawczych oszustw kryptowalutowych.
• Tajną frazę odzyskiwania należy przechowywać offline, zapisaną na papierze lub wybitą w metalu, w bezpiecznym miejscu, do którego dostęp mają tylko Państwo. MetaMask odradza przechowywanie frazy w chmurze i w menedżerach haseł.
• Przy większych kwotach warto używać portfela sprzętowego. MetaMask zaleca go dla kont o dużej wartości, bo klucze pozostają offline, a każda transakcja wymaga fizycznego urządzenia.
• Jeśli MetaMask skonfigurowano z kontem Google lub Apple, warto nadać temu kontu unikalne hasło, inne niż hasło do MetaMask.
• Zatwierdzenia tokenów należy regularnie sprawdzać. MetaMask proponuje stały nawyk, na przykład raz w miesiącu.
• Każdą niezamówioną wiadomość dotyczącą kryptowalut, czy to e-mail, wiadomość prywatną, telefon, czy komentarz w mediach społecznościowych, należy traktować jak oszustwo, dopóki nie zostanie sprawdzona przez własne kanały MetaMask.

Oficjalna dokumentacja

• Is this email really from MetaMask?
• MetaMask’s official support channels
• How to revoke smart contract allowances/token approvals
• I’ve been hacked or scammed (unauthorized transactions on my account)

Najczęściej zadawane pytania o fałszywe e-maile MetaMask

Czy MetaMask wysyła e-maile?

Tak, ale tylko w kilku sytuacjach i nigdy z własnej inicjatywy. MetaMask pisze w sprawie otwartego zgłoszenia, o aktywności na forum Community (jeśli mają tam Państwo konto) oraz wysyła zamówione newslettery i informacje o MetaMask Card. Nigdy nie pisze po to, by poprosić o tajną frazę odzyskiwania, hasło lub dane konta Google albo Apple, ani po to, by wezwać do weryfikacji portfela. Każdy inny e-mail podający się za wiadomość od MetaMask to phishing.

Co zrobić po otrzymaniu e-maila od MetaMask?

Nie należy klikać w linki, otwierać załączników ani odpowiadać na wiadomość. Warto porównać nadawcę z oficjalnymi adresami MetaMask. Jeśli nie było otwartego zgłoszenia ani żadnej subskrypcji, e-mail należy oznaczyć jako phishing i usunąć. W razie wątpliwości proszę wpisać support.metamask.io w przeglądarce i zapytać przez czat „Contact Support”.

Czy oszuści mogą dostać się do mojego portfela MetaMask bez frazy seed?

Bez frazy nie przejmą całego portfela, chyba że portfel skonfigurowano przez Google lub Apple, a oni mają to konto wraz z hasłem MetaMask. Przekazany komuś klucz prywatny odsłania konto, do którego należy. Wyjątkiem, na który trzeba uważać, są zatwierdzenia tokenów: złośliwy kontrakt, któremu udzielono zatwierdzenia, może przenieść zatwierdzone tokeny bez frazy. Złośliwe oprogramowanie może też ukraść frazę zapisaną na komputerze. Warto odwołać nieznane zatwierdzenia i trzymać frazę z dala od urządzeń podłączonych do internetu.

Fraza seed trafiła do oszustów. Czy środki da się odzyskać?

MetaMask nie może cofnąć potwierdzonej transakcji ani przywrócić skradzionych środków. Zgłoszenie kradzieży może pomóc organom ścigania lub giełdzie, na którą trafiły środki, podjąć działania, ale nie gwarantuje ich zwrotu. Crypto Recovers również nie przyjmuje spraw dotyczących skradzionych kryptowalut ani oszustw. Wszystko, co jeszcze zostało w portfelu, należy od razu przenieść do nowego portfela z nową frazą, zgłosić kradzież i zachować ostrożność wobec ofert odzyskania środków, zwłaszcza za opłatą z góry.

Czy MetaMask może zablokować lub zawiesić mój portfel?

Nie. MetaMask to portfel niepowierniczy: konta istnieją w publicznych blockchainach, a według MetaMask nie można ich usunąć ani ograniczyć. E-mail, który grozi zablokowaniem, zawieszeniem lub zamknięciem portfela, jeśli nie zostaną podjęte określone działania, to oszustwo.