Aki mátrixfiókokat épít, airdropokat farmol vagy több webshopot visz egyszerre, az 2026 elején kollektíve pofonba szaladt: a Moreloginről az a hír járja, hogy támadás miatt lopták el felhasználók eszközeit (közösségi monitoring szerint egyetlen tranzakcióban 85 ezer dollár feletti veszteség történt; a támadási vektor és a MoreLogin kapcsolata még vizsgálat alatt, nem végleges). Ez nem elszigetelt eset – ha végignézed az idővonalat, szinte egyetlen nagy ujjlenyomat-böngésző sem úszta meg. Még mindig egy zárt forráskódú kliensre bízod a tárcáidat és a fiókjaid sorsát? Ez a cikk mutat egy utat, ami egyetlen harmadik fél ujjlenyomat-böngészőtől sem függ.

Először tisztázzuk, kinek szól. Három csoport: egy, aki airdropot farmol és on-chain interakciókat csinál, és több tucat egymástól független tárcakörnyezet kell neki – ha egy környezet szennyeződik, a többi nem bukhat vele; kettő, aki több webshopot üzemeltet – eBay, Vinted, Shopee, egy ember több bolt, a platform pont a „ugyanaz az eszköz, ugyanaz az IP, több fiók” mintát keresi; három, aki közösségi média mátrixot épít és tömegesen nevel fiókokat. A közös nevező: a fiók maga az eszköz, a tiltás vagy lopás kőkemény pénzveszteség. Ha csak simán netezel egy fiókkal, ez a cikk nem neked szól, zárd be nyugodtan.

Miért lett az ujjlenyomat-böngésző a hackerek ATM-je

Három véres számla. 2023. augusztus 26-án a BitBrowser felhasználói jelentették, hogy MetaMask-tárcáikból tömegesen utaltak ki pénzt; a SlowMist heti jelentése legalább 520 ezer dolláros veszteséget becsült, egyes kínai közösségi beszámolók milliós dollárnagyságrendről írtak. 2025 januárjában az iparági vezető AdsPower ellátásilánc-támadást szenvedett (ellátásilánc-támadás: a hacker nem téged támad közvetlenül, hanem beszennyezi annak a szoftvergyártónak a terjesztési csatornáját, akiben megbízol – a hivatalos frissítőcsomagból trójai lesz): betörtek a harmadik fél OSS objektumtárhelyére, és hátsó kaput ültettek a felhasználóknak kiosztott MetaMask-bővítményekbe. Több mint 34 ezer tárca érintett, kb. 4,7 millió dollár veszteség. Aztán 2026 márciusában a Morelogin gyanús valós idejű lopása. A SlowMist 2026 februári iparági kockázatelemzése kimondta: ez a kategória szállítási lánca eleve törékeny.

A logika egyszerű: az ujjlenyomat-böngésző gyártója nála tartja az összes környezetedet, cookie-dat és bővítmény-terjesztési csatornádat. A hackernek elég a gyártó egyetlen szerverét átütnie, és egyszerre arat le tízezer felhasználót. Minél nagyobb és ismertebb a gyártó, annál zsírosabb célpont. A havidíjad valójában azt veszi meg, hogy „tízezrével osztozol egy támadási felületen” (támadási felület: az összes pont összessége, ahol a hacker beüthet).

A lényeg: nincs biztonságos ujjlenyomat-böngésző, csak biztonságos használati mód

Tegyük le az ítéletet: nagy összegű műveleteknél egyetlen ujjlenyomat-böngészőbe sem kerülhet tárca. A kis eszközök kisebb szivárgást jelentenek, de az ujjlenyomat-minőségük és a funkcióik gyakran nem bírják az üzletet; a nagyok erősek, de a hackerek első számú célpontjai. Ez zsákutca.

Az igazi megoldás a bizalmi lánc minimalizálása: minden profiladat 100%-ban a helyi lemezen marad, semmilyen felhőszinkron; minden környezet kötelezően saját lakossági vagy mobil proxy IP-t kap, SOCKS5 az elsődleges; a nagy pénzes fiókoknál a böngészőbe egyetlen tárcabővítmény sem kerül, az aláírást hardvertárca vagy egy dedikált, tiszta eszköz végzi. Ha ez a három megvan, a támadási felületed lecsökken a saját gépedre – a saját géped pedig az egyetlen elem, amit tényleg kontrollálsz.

Hideg zuhany: ennek a megoldásnak is vannak határai

Őszintén szólva van egy durva korlát: a natív Chrome többprofil nem módosítja a böngésző-ujjlenyomatot. Canvas, WebGL, betűtípus-lista – 50 példánynál tökéletesen azonos. Ha a platform erős ujjlenyomat-ellenőrzést futtat, ugyanúgy össze tudja kapcsolni a fiókjaidat. Ez a megoldás az IP-izolációt, a cookie-izolációt és a tárcabiztonságot oldja meg – nem csodaszer.

Döntési tábla szituációnként:

• Tárcabiztonság, airdrop-farm, több webshop (eBay / Shopee / Vinted eladói felületek): a kockázatkezelés főleg IP-t és bejelentkezési állapotot néz – ez a megoldás teljesen elég, és messze biztonságosabb, mint az ujjlenyomat-böngésző.
• Erős ujjlenyomat-ellenőrzésű platformok (TikTok, Facebook hirdetéskezelés, egyes külföldi közösségi médiák): ez a megoldás kevés – kell mellé ujjlenyomat-módosító bővítmény, vagy elismered a korlátot és maradsz az ujjlenyomat-böngészőnél, de tárca oda sosem kerül.
• Csak spórolni akarsz, macerázni nem: maradhatsz az ujjlenyomat-böngészőnél, de a 3. lépés pénzizolációs vas szabályát tartsd be szigorúan.

Ne menj mezítláb a csatába – előbb gondold végig, a te üzleted melyik kockázatkezelési rétegen akad el.

1. lépés: valóban izolált Chrome többprofil-környezet

Kulcsfelismerés: a Chrome menüjében lévő „felhasználó hozzáadása” funkció nem izolál teljesen, az alsó rétegekben részben megosztott az adat – ne használd. A helyes módszer: parancssori paraméterrel kényszeríted ki a külön adatkönyvtárat.

Windowson hozz létre parancsikont, a cél mezőbe:

1

"C:\Program Files\Google\Chrome\Application\chrome.exe" --user-data-dir="D:\ChromeProfiles\Account01"

macOS-en terminálból:

1

open -na "Google Chrome" --args --user-data-dir="/Users/yourname/ChromeProfiles/Account01"

Minden új fiókhoz új mappa, Account01-től Account50-ig szabadon skálázható. Minden parancsikon által indított Chrome-példány cookie-jai, gyorsítótára, bővítményei és bejelentkezései fizikailag teljesen elkülönülnek. Két figyelmeztetés: az adatkönyvtár sosem lehet iCloud-, OneDrive- vagy bármilyen felhőszinkron-mappában, különben a „nincs felhőszinkron” elv azonnal megdől; az útvonalban ne legyen ékezetes karakter és szóköz, elkerülve a rejtélyes hibákat.

Különítsd el az „összes számot” és az „egyszerre futót”: 16 GB memóriával 10–15 példány egyszerre gond nélkül megy, de 50 fiókot nyilván nem nyitsz meg egyszerre. A trükk: üzletág szerint csoportosítasz – 50 parancsikon 5 mappába, és egy batch-szkripttel egy gombnyomásra indítasz egy csoportot (Windowson egy .bat, soronként start-tal), kész a csapat, bezár, jön a következő. Költség: nulla, egy fillér előfizetés sem.

2. lépés: minden környezet kapjon saját IP-t

A környezet izolált, de ha az IP ugyanaz az egy szélessáv, a platform kockázatkezelése egy lapáttal visz el mindent. A megoldás: minden Chrome-példány saját proxyt kap.

Előbb a lánc, különben a parancssor másolása után nem fog csatlakozni: a megvásárolt lakossági IP-hez a szolgáltató ad egy felhasználónév-jelszavas SOCKS5-címet → helyben futtatsz egy proxyklienst, ami a hitelesítéses upstream proxyt a 127.0.0.1-en hitelesítésmentes portokra továbbítja (10001, 10002… környezetenként egy) → a Chrome ezen a helyi porton keresztül netezik. A teljes lánc: „Chrome → helyi port → upstream lakossági IP → célweboldal”.

Két technikai gödör, amit előre tudnod kell: egy, a Chrome –proxy-server paramétere nem támogatja a felhasználónév-jelszavas SOCKS5-öt, a piaci lakossági proxyk viszont szinte mind hitelesítést kérnek – tehát az upstream címet nem írhatod be közvetlenül, helyi továbbítás kell. Kettő, a Proxifier-féle eszközök nem tudják megkülönböztetni a több azonos nevű chrome.exe folyamatot, folyamatszintű irányítás többprofilos környezetben elhasal. A működő megoldás: gost vagy mihomo, minden upstream proxyhoz egy helyi hitelesítésmentes port, és minden Chrome-példány parancssorból a saját portjára kötve:

1

chrome.exe --user-data-dir="D:\ChromeProfiles\Account01" --proxy-server="socks5://127.0.0.1:10001"

gost továbbítási példa:

1

gost -L socks5://127.0.0.1:10001 -F socks5://felhasznalonev:jelszo@upstream-proxy-cim:port

Aki nem akar parancssort nyúlni: minden külön profilba SwitchyOmega-féle proxybővítmény, grafikus felületen upstream cím + felhasználónév + jelszó – ugyanaz az eredmény.

IP-választásnál a lakossági és mobil IP-k túlélési aránya messze felülmúlja az adatközponti IP-ket, különösen TikTok-, Pinterest- vagy Vinted-mátrixnál. Árak: a lakossági proxy forgalom alapján nagyjából GB-onként pár dollár, a havi dedikált statikus lakossági IP kb. 10–40 dollár darabonként, a mobil IP drágább – 50 IP-re havi 150–400 dolláros költségvetés reális sáv, beszerzés előtt kis léptékben tesztelj. És: ingyenes proxyt soha – az maga a honeypot (a hacker szándékosan kitett csapda, ami az adataidat halássza).

Minimális első lépés: ne vegyél rögtön 50 IP-t. Vegyél 1 lakossági proxyt, állítsd be a helyi továbbítást, indíts egy Chrome-példányt, nyisd meg az ipinfo.io-t, és ellenőrizd, hogy a megjelenő IP már a proxy IP-je és eltér a saját szélessávadtól. Ha ez a lánc fut, akkor skálázz. Minden új környezetnél előbb IP-ellenőrző oldal, aztán bejelentkezés.

3. lépés: a tárca- és pénzmozgás fizikai izolációjának vas szabálya

Hogyan tűnt el az AdsPowernél az a 4,7 millió dollár? A felhasználók a MetaMaskot az ujjlenyomat-böngészőbe telepítették, a gyártó bővítmény-terjesztési lánca szennyeződött, és mindenki privát kulcsa meztelenül állt. A leckét be kell vágni: a farmolás, interakció, napi check-in jellegű magas frekvenciájú környezetek és a pénztároló környezet két fizikailag elkülönült rendszer kell legyen.

Gyakorlati standard: a napi böngészőben csak burner tárca (eldobható kistárca, ha elvész, nem fáj), egy tárca egyenlege sosem haladja meg azt az összeget, aminek a nullázását kibírod – jó felső határ az egyszámlás várható hozam két-háromszorosa, azaz burnerenként tartósan max pár száz dollár; a fővagyon hardvertárcába vagy egy dedikált böngészőbe, amin nulla harmadik féltől származó bővítmény van és csak utalást ír alá; a seed phrase sosem kerül semmilyen dokumentszoftverbe – a BitBrowser-ügyben volt, aki WPS-ben tárolta nyílt szövegként a privát kulcsát, ez olyan, mintha átadnád a tolvajnak a kulcsot. Az összegyűjtés legyen heti fix rutin: alacsony gas-díjaknál a működési környezetek hozamát egyben a hidegtárcába – így egyetlen pont áttörésének vesztesége is plafonozott.

Ennek a megoldásnak a valódi mérlege

Számoljunk teljes kört, ne csak a megtakarítást. Ujjlenyomat-böngésző: 50 környezet havidíja 50–300 dollár között mozog (a gyártók hivatalos árai szerint), évente 600–3600 dollár, plusz az IP-beszerzés. Helyi megoldás: előfizetés nulla, IP-díj marad (50 lakossági IP havi 150–400 dollár – ez mindkét megoldásnál megkerülhetetlen költség), plusz kb. egy hétvége felépítés és utána havi egy-két óra karbantartás. A konklúzió világos: a helyi megoldás az előfizetést és a „a gyártót átütik, én is belebukok” rendszerszintű kockázatot spórolja meg, az ára a saját két kezed és egy kis karbantartási idő. Az IP-díjat nem lehet kispórolni – aki azt mondja, hogy többprofilozáshoz nem kell IP-t venni, az átver.

A 2023-as BitBrowsertől a 2026-os Morelogin-gyanúig három év alatt ez a kategória újra és újra ugyanazt bizonyította: aki a biztonságot kiszervezi egy zárt forráskódú gyártónak, az a sorsát adja más kezébe. Ma este még: a legnagyobb pozíciójú tárcád vagyonát utald át egy frissen generált címre, a régi tárcát végleg kukázd – a többi környezetet holnap felépíted a fenti három lépés mentén.