steemstates.com也是区块链浏览器的一种，不算是浏览器插件。如果它没有要求你输入私钥/密码的话，你是安全的。如果要的话，使用起来就有点担心了，除非它进行了开源。但即使如此，你依然无法确定网站上部署的代码是否与开源的代码是否一直。这也是@xeroc 的piston.web 开源项目的价值所在。每个用户可以下载代码在自己的计算机上运行。

安全和便利从来都是矛盾的，追求高级别的安全救势必牺牲一些便利性。使用官方网站算是在安全和便捷性这件的一种妥协权衡吧。

Steem提供了高级的安全机制，高价值账户从来都应该保护好owner key，只使用post key登录网址，那样即使发生安全问题，你总是能恢复。这个话题要讲清楚就要展开了，回头写一篇相关的文章吧。

至于浏览器插件，比如chrome的插件，相对还是安全的，脚本的隔离做得还是很好。但是一些流氓厂商开发的具有特殊国情的浏览器，还是莫要碰的为好。

开源自然也会为黑客研究漏洞提供便利，但是好人比坏人多，能被发现并修复的漏洞也会更多，而且官方也提供了漏洞奖励计划，所以利远大于弊的。