Злоумышленники использовали названия, логотипы и рекламные описания известных криптосервисов, чтобы выдать свои разработки за официальные продукты. В результате пользователи могли установить опасное дополнение, ошибочно приняв его за оригинальный кошелек.
Особенно тщательно была замаскирована подделка Phantom: ее название содержало визуально похожие символы Unicode, а оформление повторяло оригинальное приложение. Расширение рекламировалось как официальное обновление кошелька для Firefox.
Поддельное дополнение Jupiter представлялось продуктом команды Jupiter Exchange. Еще одна вредоносная программа использовала название TabFlow Pro, но при этом демонстрировала фирменное оформление Bitget Wallet.
Исследователи установили, что все три расширения были связаны с общей инфраструктурой, использовавшей домен bonto[.]io для передачи похищенной информации.
Поддельный кошелек Phantom отслеживал ввод сид-фраз длиной 12, 15, 18 или 24 слова, а также приватных ключей, связанных с сетями Ethereum и Solana. Вредоносный код мог считывать данные из текстовых полей и перехватывать информацию, вставленную из буфера обмена.
Полученные сведения передавались на удаленный сервер в структурированном формате. Другие обнаруженные подделки, имитировавшие Jupiter и Bitget, отправляли секретные фразы на отдельные поддомены той же инфраструктуры.
Вредоносный пакет, выдававший себя за Phantom, содержал и дополнительные компоненты для вывода средств. По информации исследователей, они позволяли сохранять похищенные данные, передавать их через Telegram-бота и инициировать перемещение криптоактивов на заранее подготовленные адреса.
Среди затронутых сетей упоминались Bitcoin, Ethereum, BNB Smart Chain, Polygon, Arbitrum, Optimism, Base, Avalanche и Solana. Таким образом, потенциальная угроза не ограничивалась одной блокчейн-платформой.
Для повышения доверия к фальшивому расширению Phantom злоумышленники, предположительно, искусственно увеличивали количество отзывов и рейтинг приложения. По данным Socket, за короткий период число отзывов выросло с 275 до 546, а оценка повысилась с 2,9 до 3,9.
Этот случай показывает, что положительные оценки и внешнее сходство с оригиналом не гарантируют безопасность браузерного дополнения. Даже приложение с убедительным оформлением может содержать код, предназначенный для кражи конфиденциальных данных.
На момент публикации исследования все три выявленных расширения были удалены из каталога дополнений Firefox. При этом специалисты не сообщили точное число пострадавших пользователей и общий объем возможных потерь.
Чтобы снизить риск кражи цифровых активов, пользователям рекомендуется:- Устанавливать расширения только после проверки официального сайта разработчика и точного названия дополнения.
- Не вводить сид-фразу или приватный ключ на страницах и в интерфейсах, подлинность которых не подтверждена.
- Не полагаться исключительно на рейтинг, отзывы, логотип и количество установок.
- Удалить подозрительное расширение и проверить историю установленных дополнений.
- Если секретная фраза или приватный ключ уже были введены в поддельный кошелек, считать их скомпрометированными и как можно быстрее перевести активы на новый кошелек, созданный в безопасной среде.
Обнаружение поддельных расширений Phantom, Jupiter и Bitget — очередное напоминание о том, что безопасность криптовалют зависит не только от надежности блокчейна, но и от защиты устройств, браузеров и ключей доступа. Перед установкой любого криптовалютного инструмента важно убедиться, что он действительно принадлежит заявленному разработчику.