В Firefox нашли расширения-клоны криптокошельков, крадущие ключи

Три расширения Firefox крадут ключи от криптокошельков

Исследователи Socket обнаружили три вредоносных расширения для браузера Firefox. Они маскировались под популярные криптокошельки Phantom, Jupiter и Bitget. После установки расширения похищали сид-фразы и приватные ключи пользователей. Эти данные предоставляют злоумышленникам полный контроль над криптокошельком.

Расширения считывали введенные и отображенные данные

Вредоносные расширения искали сид-фразы длиной 12, 15, 18 и 24 слова. Они также нацеливались на приватные ключи Ethereum и Solana. Механизм расширений позволял считывать данные из полей ввода, обнаруживать вставленный текст и сканировать экраны. Расширение-клон Phantom перехватывало секреты, отправляло их в Telegram-бот и автоматически переводило средства на заранее заданные адреса. Эти адреса охватывали сети Ethereum, BSC, Polygon, Arbitrum, Optimism, Base, Avalanche, Solana и Bitcoin. Расширение могло прочитать сид-фразу как при вводе во время импорта, так и при отображении на экране.

Пользователи кошельков Phantom, Jupiter и Bitget в зоне риска

Киберпреступники разместили три поддельных расширения в магазине Firefox Add-ons. Они имитировали кошельки Phantom, Jupiter и Bitget. Оригинальные кошельки предлагают расширения для других браузеров. Расширение Phantom для Firefox больше не поддерживается. Все три вредоносных расширения были доступны в магазине во время анализа исследователями и впоследствии удалены.

Удаляйте расширения и устанавливайте кошельки с официальных сайтов

Пользователям, обнаружившим одно из этих расширений в Firefox, следует немедленно удалить его. Для этого используется меню расширения. Если вы вводили сид-фразу или приватный ключ, создайте новый кошелек на чистом устройстве и переведите туда активы. Старый кошелек следует считать скомпрометированным. В будущем устанавливайте расширения кошельков только по ссылкам с официальных сайтов разработчиков. Избегайте поиска в магазинах расширений. Обращайте внимание на подозрительные признаки: например, запрос доступа ко всем данным на сайтах и отсутствие политики конфиденциальности. Используйте актуальное антивирусное ПО с функцией блокировки вредоносных сайтов. Никогда не вводите сид-фразу на веб-сайтах. Вводите ее только в официальном приложении кошелька при восстановлении. Служба поддержки кошельков никогда не запрашивает сид-фразу.