Специалисты по кибербезопасности компании Socket’s Threat Research Team обнаружили три вредоносных расширения для браузера Mozilla Firefox, выдававшие себя за криптовалютные кошельки Phantom, Jupiter и Bitget. Программы умеют красть сид-фразы и закрытые ключи.
Злоумышленники скопировали названия, иконки и рекламные тексты настоящих кошельков, поэтому люди, искавшие проверенный кошелек в магазине, могли по ошибке установить поддельное приложение. Специалисты Socket’s Threat Research выяснили, что расширения передавали украденные данные на поддомены одного управляющего сервера — bonto[.]io.
В названии поддельного расширения Phantom использовались визуально похожие символы, благодаря чему оно отображалось как настоящее. Злоумышленники копировали оригинальную иконку Phantom с изображением призрака и назвали расширение Official Phantom Wallet (Firefox Update). Поддельное приложение Jupiter мошенники позиционировали как продукт компании Jupiter Exchange, а вредоносное расширение, имитирующее Bitget, использовало название TabFlow Pro, однако пользователям показывался брендинг Bitget.
Вредоносная программа, имитирующая Phantom, отслеживала ввод мнемонических фраз, состоящих из 12, 15, 18 или 24 слов, а также приватных ключей для сетей Эфириума и Solana. Программа считывала содержимое текстовых полей и вставку текста в буфер обмена. Украденные данные отправлялись на сервер злоумышленника в формате JSON. Подделки, имитирующие Jupiter и Bitget, содержали встроенный механизм кражи данных, который напрямую отправлял мнемонические фразы на домены jupiter[.]bonto[.]io или bitget[.]bonto[.]io.
Поддельное расширение Jupiter также запрашивало доступ к Trezor Connect. В поддельный пакет Phantom был включен собственный бэкенд-дрейнер — файл Node.js server.js. Он сохранял украденные секретные данные в локальные файлы, отправлял их в телеграм-бот, а затем инициировал перевод активов на заранее подготовленные адреса в сетях Биткоина, Эфириума, BSC, Polygon, Arbitrum, Optimism, Base, Avalanche и Solana.
Мошенники искусственно завышали репутацию своих продуктов, рассказали аналитики Socket’s Threat Research. Всего за пару дней количество отзывов о поддельном приложении Phantom выросло с 275 до 546, а рейтинг поднялся с 2,9 до 3,9. Количество жертв и суммы возможных потерь не уточняются. Все три расширения уже удалены из Firefox.
Это не первый случай, когда эксперты Socket выявляют подобные схемы. Недавно они обнаружили 16 вредоносных расширений для Firefox, которые копировали интерфейсы кошельков площадок Rabby и OKX. Расширения маскировались под полезные прогораммы: порталы кошельков, десктопные утилиты и браузерные инструменты.
Будь в курсе! Подписывайся на Телеграм.
Подписывайтесь на страницы новостей криптовалют -
