В Mozilla Firefox нашли поддельные расширения трех криптокошельков

Злоумышленники скопировали названия, иконки и рекламные тексты настоящих кошельков, поэтому люди, искавшие проверенный кошелек в магазине, могли по ошибке установить поддельное приложение. Специалисты Socket’s Threat Research выяснили, что расширения передавали украденные данные на поддомены одного управляющего сервера — bonto[.]io.

В названии поддельного расширения Phantom использовались визуально похожие символы, благодаря чему оно отображалось как настоящее. Злоумышленники копировали оригинальную иконку Phantom с изображением призрака и назвали расширение Official Phantom Wallet (Firefox Update). Поддельное приложение Jupiter мошенники позиционировали как продукт компании Jupiter Exchange, а вредоносное расширение, имитирующее Bitget, использовало название TabFlow Pro, однако пользователям показывался брендинг Bitget.

Вредоносная программа, имитирующая Phantom, отслеживала ввод мнемонических фраз, состоящих из 12, 15, 18 или 24 слов, а также приватных ключей для сетей Эфириума и Solana. Программа считывала содержимое текстовых полей и вставку текста в буфер обмена. Украденные данные отправлялись на сервер злоумышленника в формате JSON. Подделки, имитирующие Jupiter и Bitget, содержали встроенный механизм кражи данных, который напрямую отправлял мнемонические фразы на домены jupiter[.]bonto[.]io или bitget[.]bonto[.]io.

Будьте в курсе
движения ваших монет

Алерты, котировки в реальном времени и новости рынка — в одном приложении

Наведите камеру телефона, чтобы установить

4,8 на основе 40 К оценок в App Store и Google Play

Поддельное расширение Jupiter также запрашивало доступ к Trezor Connect. В поддельный пакет Phantom был включен собственный бэкенд-дрейнер — файл Node.js server.js. Он сохранял украденные секретные данные в локальные файлы, отправлял их в телеграм-бот, а затем инициировал перевод активов на заранее подготовленные адреса в сетях Биткоина, Эфириума, BSC, Polygon, Arbitrum, Optimism, Base, Avalanche и Solana.

Мошенники искусственно завышали репутацию своих продуктов, рассказали аналитики Socket’s Threat Research. Всего за пару дней количество отзывов о поддельном приложении Phantom выросло с 275 до 546, а рейтинг поднялся с 2,9 до 3,9. Количество жертв и суммы возможных потерь не уточняются. Все три расширения уже удалены из Firefox.

Это не первый случай, когда эксперты Socket выявляют подобные схемы. Недавно они обнаружили 16 вредоносных расширений для Firefox, которые копировали интерфейсы кошельков площадок Rabby и OKX. Расширения маскировались под полезные прогораммы: порталы кошельков, десктопные утилиты и браузерные инструменты.

Источник