Специалисты по кибербезопасности компании Socket’s Threat Research Team обнаружили три вредоносных расширения для браузера Mozilla Firefox, выдававшие себя за криптовалютные кошельки Phantom, Jupiter и Bitget. Программы умеют красть сид-фразы и закрытые ключи.
Злоумышленники скопировали названия, иконки и рекламные тексты настоящих кошельков, поэтому люди, искавшие проверенный кошелек в магазине, могли по ошибке установить поддельное приложение. Специалисты Socket’s Threat Research выяснили, что расширения передавали украденные данные на поддомены одного управляющего сервера — bonto[.]io.
В названии поддельного расширения Phantom использовались визуально похожие символы, благодаря чему оно отображалось как настоящее. Злоумышленники копировали оригинальную иконку Phantom с изображением призрака и назвали расширение Official Phantom Wallet (Firefox Update). Поддельное приложение Jupiter мошенники позиционировали как продукт компании Jupiter Exchange, а вредоносное расширение, имитирующее Bitget, использовало название TabFlow Pro, однако пользователям показывался брендинг Bitget.
Вредоносная программа, имитирующая Phantom, отслеживала ввод мнемонических фраз, состоящих из 12, 15, 18 или 24 слов, а также приватных ключей для сетей Эфириума и Solana. Программа считывала содержимое текстовых полей и вставку текста в буфер обмена. Украденные данные отправлялись на сервер злоумышленника в формате JSON. Подделки, имитирующие Jupiter и Bitget, содержали встроенный механизм кражи данных, который напрямую отправлял мнемонические фразы на домены jupiter[.]bonto[.]io или bitget[.]bonto[.]io.
Поддельное расширение Jupiter также запрашивало доступ к Trezor Connect. В поддельный пакет Phantom был включен собственный бэкенд-дрейнер — файл Node.js server.js. Он сохранял украденные секретные данные в локальные файлы, отправлял их в телеграм-бот, а затем инициировал перевод активов на заранее подготовленные адреса в сетях Биткоина, Эфириума, BSC, Polygon, Arbitrum, Optimism, Base, Avalanche и Solana.
Мошенники искусственно завышали репутацию своих продуктов, рассказали аналитики Socket’s Threat Research. Всего за пару дней количество отзывов о поддельном приложении Phantom выросло с 275 до 546, а рейтинг поднялся с 2,9 до 3,9. Количество жертв и суммы возможных потерь не уточняются. Все три расширения уже удалены из Firefox.
Злоумышленники скопировали названия, иконки и рекламные тексты настоящих кошельков, поэтому люди, искавшие проверенный кошелек в магазине, могли по ошибке установить поддельное приложение. Специалисты Socket’s Threat Research выяснили, что расширения передавали украденные данные на поддомены одного управляющего сервера — bonto[.]io.
В названии поддельного расширения Phantom использовались визуально похожие символы, благодаря чему оно отображалось как настоящее. Злоумышленники копировали оригинальную иконку Phantom с изображением призрака и назвали расширение Official Phantom Wallet (Firefox Update). Поддельное приложение Jupiter мошенники позиционировали как продукт компании Jupiter Exchange, а вредоносное расширение, имитирующее Bitget, использовало название TabFlow Pro, однако пользователям показывался брендинг Bitget.
Вредоносная программа, имитирующая Phantom, отслеживала ввод мнемонических фраз, состоящих из 12, 15, 18 или 24 слов, а также приватных ключей для сетей Эфириума и Solana. Программа считывала содержимое текстовых полей и вставку текста в буфер обмена. Украденные данные отправлялись на сервер злоумышленника в формате JSON. Подделки, имитирующие Jupiter и Bitget, содержали встроенный механизм кражи данных, который напрямую отправлял мнемонические фразы на домены jupiter[.]bonto[.]io или bitget[.]bonto[.]io.
Поддельное расширение Jupiter также запрашивало доступ к Trezor Connect. В поддельный пакет Phantom был включен собственный бэкенд-дрейнер — файл Node.js server.js. Он сохранял украденные секретные данные в локальные файлы, отправлял их в телеграм-бот, а затем инициировал перевод активов на заранее подготовленные адреса в сетях Биткоина, Эфириума, BSC, Polygon, Arbitrum, Optimism, Base, Avalanche и Solana.
Мошенники искусственно завышали репутацию своих продуктов, рассказали аналитики Socket’s Threat Research. Всего за пару дней количество отзывов о поддельном приложении Phantom выросло с 275 до 546, а рейтинг поднялся с 2,9 до 3,9. Количество жертв и суммы возможных потерь не уточняются. Все три расширения уже удалены из Firefox.