Специалисты по кибербезопасности из Socket’s Threat Research Team обнаружили в браузере Mozilla Firefox три вредоносных расширения, которые маскировались под криптовалютные кошельки Phantom, Jupiter и Bitget. Эти программы были разработаны для кражи сид-фраз и закрытых ключей пользователей.
Злоумышленники тщательно скопировали внешний вид настоящих кошельков — их названия, иконки и рекламные тексты. Из‑за этого пользователи, которые искали надёжные кошельки в магазине приложений, могли случайно установить поддельные программы. Эксперты Socket’s Threat Research установили, что украденные данные отправлялись на поддомены управляющего сервера bonto[.]io.
Поддельное расширение, выдававшее себя за Phantom, использовало визуально схожие символы, чтобы выглядеть как оригинальное. Злоумышленники воспроизвели узнаваемую иконку Phantom с изображением призрака и назвали своё творение Official Phantom Wallet (Firefox Update). Расширение, имитирующее Jupiter, представлялось продуктом компании Jupiter Exchange. А вредоносное приложение, маскирующееся под Bitget, носило название TabFlow Pro, но демонстрировало пользователям брендинг Bitget.
Вредоносная программа, выдававшая себя за Phantom, отслеживала ввод мнемонических фраз (состоящих из 12, 15, 18 или 24 слов) и приватных ключей для сетей Эфириума и Solana. Она считывала данные из текстовых полей и из буфера обмена, а затем отправляла украденную информацию на сервер злоумышленника в формате JSON. Поддельные расширения для Jupiter и Bitget имели встроенный механизм кражи данных — мнемонические фразы напрямую отправлялись на домены jupiter[.]bonto[.]io или bitget[.]bonto[.]io.
Расширение, имитирующее Jupiter, запрашивало доступ к Trezor Connect. В поддельное приложение Phantom был встроен бэкенд-дрейнер — файл Node.js server.js. Он сохранял украденные данные в локальные файлы, отправлял их в телеграм-бот, а затем инициировал перевод активов на заранее подготовленные адреса в сетях Биткоина, Эфириума, BSC, Polygon, Arbitrum, Optimism, Base, Avalanche и Solana.
Аналитики Socket’s Threat Research сообщили, что мошенники искусственно завышали репутацию своих поддельных продуктов. Например, за несколько дней количество отзывов о фальшивом приложении Phantom увеличилось с 275 до 546, а его рейтинг вырос с 2,9 до 3,9. Точное число пострадавших пользователей и суммы их возможных потерь пока не известны. Все три вредоносных расширения уже удалены из магазина приложений Firefox.
Эксперты Socket не впервые выявляют подобные мошеннические схемы. Ранее они обнаружили 16 вредоносных расширений для Firefox, которые имитировали интерфейсы кошельков площадок Rabby и OKX. Эти программы маскировались под полезные инструменты — порталы кошельков, десктопные утилиты и браузерные расширения.