У Firefox виявили підроблені розширення популярних криптогаманців

Дослідники з компанії Sock­et’s Threat Research Team виявили в магазині розширень Mozil­la Fire­fox три шкідливі програми, що маскувалися під популярні криптогаманці Phan­tom, Jupiter і Bit­get. Зловмисники скопіювали назви, іконки та рекламні описи справжніх додатків — так, що звичайний користувач майже не міг відрізнити підробку від оригіналу.

Фейкове розширення під назвою Phan­tom використовувало візуально схожі символи, щоб виглядати ідентично справжньому, та поширювалося під назвою Offi­cial Phan­tom Wal­let (Fire­fox Update). Підроблений Jupiter позиціонувався як офіційний продукт Jupiter Exchange, а шкідливе розширення Bit­get ховалося за назвою TabFlow Pro, проте показувало користувачам брендинг оригінального гаманця.

Шкідлива програма, що імітувала Phan­tom, перехоплювала мнемонічні фрази з 12, 15, 18 або 24 слів і приватні ключі для мереж Ethereum та Solana. Вона зчитувала вміст текстових полів і відстежувала вставку тексту через буфер обміну, після чого надсилала вкрадені дані на сервер зловмисників у форматі JSON. Підробки Jupiter і Bit­get діяли простіше — безпосередньо відправляли мнемонічні фрази на піддомени jupiter[.]bonto[.]io та bitget[.]bonto[.]io.

Фейковий пакет Phan­tom містив власний бекенд-дрейнер — файл Node.js server.js. Він зберігав викрадені дані локально, паралельно надсилав їх у Telegram-бот, а потім автоматично ініціював переказ активів на заздалегідь підготовлені адреси в мережах Bit­coin, Ethereum, BSC, Poly­gon, Arbi­trum, Opti­mism, Base, Avalanche і Solana. Підроблений Jupiter додатково запитував доступ до Tre­zor Con­nect.

Щоб розширення виглядали надійніше, шахраї штучно накручували рейтинги. Лише за кілька днів кількість відгуків про фейковий Phan­tom зросла з 275 до 546, а оцінка підскочила з 2,9 до 3,9 зірки. Скільки користувачів постраждало і які суми були вкрадені, не повідомляється.

Усі три розширення вже видалені з Fire­fox. Утім, це не перший подібний випадок: раніше та сама команда Sock­et виявила 16 шкідливих розширень, що копіювали інтерфейси гаманців Rab­by та OKX, маскуючись під портали гаманців, десктопні утиліти та браузерні інструменти.