В Mozilla Firefox обнаружены поддельные расширения кошельков Phantom, Jupiter и Bitget
Специалисты Socket’s Threat Research Team нашли три вредоносных расширения для Firefox, которые выдавали себя за криптокошельки Phantom, Jupiter и Bitget и крали сид-фразы и закрытые ключи.
Злоумышленники скопировали названия, иконки и рекламные тексты настоящих кошельков, поэтому пользователи могли установить поддельное приложение из магазина расширений. По данным Socket’s Threat Research, украденные данные передавались на поддомены управляющего сервера bonto[.]io.
В названии поддельного расширения Phantom использовались визуально похожие символы, из-за чего оно выглядело как настоящее. Мошенники скопировали оригинальную иконку Phantom с изображением призрака и назвали расширение Official Phantom Wallet (Firefox Update). Поддельное приложение Jupiter позиционировалось как продукт компании Jupiter Exchange, а вредоносное расширение под Bitget использовало название TabFlow Pro, но показывало пользователям брендинг Bitget.
Вредоносная программа, имитирующая Phantom, отслеживала ввод мнемонических фраз из 12, 15, 18 или 24 слов, а также приватных ключей для сетей Эфириума и Solana. Она считывала содержимое текстовых полей и вставку текста из буфера обмена. Украденные данные отправлялись на сервер злоумышленника в формате JSON. Подделки Jupiter и Bitget содержали встроенный механизм кражи, который напрямую отправлял мнемонические фразы на домены jupiter[.]bonto[.]io или bitget[.]bonto[.]io.
Поддельное расширение Jupiter также запрашивало доступ к Trezor Connect. В поддельный пакет Phantom был включен собственный бэкенд-дрейнер — файл Node.js server.js. Он сохранял украденные секретные данные в локальные файлы, отправлял их в телеграм-бот, а затем инициировал перевод активов на заранее подготовленные адреса в сетях Биткоина, Эфириума, BSC, Polygon, Arbitrum, Optimism, Base, Avalanche и Solana.
Аналитики Socket’s Threat Research рассказали, что мошенники искусственно завышали репутацию своих продуктов. Всего за пару дней количество отзывов о поддельном приложении Phantom выросло с 275 до 546, а рейтинг поднялся с 2,9 до 3,9. Количество жертв и суммы возможных потерь не уточняются. Все три расширения уже удалены из Firefox.
Это не первый случай, когда эксперты Socket выявляют подобные схемы. Недавно они обнаружили 16 вредоносных расширений для Firefox, которые копировали интерфейсы кошельков площадок Rabby и OKX. Расширения маскировались под полезные программы: порталы кошельков, десктопные утилиты и браузерные инструменты.