Socket нашла в Firefox 16 расширений для кражи сид-фраз

Специалисты по кибербезопасности компании Socket Threat Research обнаружили 16 вредоносных расширений для браузера Firefox. Целью их создателей были владельцы криптокошельков Rabby и OKX. Об этом говорится в отчёте компании.

Задача расширений — кража сид-фраз и приватных ключей. Под видом порталов кошельков, десктопных утилит и браузерных инструментов они предлагали пользователю ввести пароли и другую конфиденциальную информацию, после чего данные уходили на серверы Cloudflare Workers, которыми управляют злоумышленники. Названия пакетов, версии, идентификаторы, описания и внешний вид расширений менялись, но интерфейсы кошельков и логика обработки учётных данных оставались одними и теми же.

По состоянию на 5 октября все 16 расширений удалены из магазина Mozilla Firefox. Полный список их названий опубликован в отдельном отчёте Socket.

Что делать, если расширение уже стояло

В Socket советуют любому, кто вводил мнемоническую фразу или закрытый ключ при работе этих расширений, считать свой кошелёк скомпрометированным. Специалисты рекомендуют создать новый кошелёк в безопасной среде и перевести туда криптоактивы. Смена пароля не поможет: если секретная фраза или ключ уже введены, средства могут быть украдены.

Проверить, не связан ли адрес с известными скам- и санкционными списками, можно через проверку кошелька, а посмотреть статистику краж по годам — в хронике взломов.

Годом ранее специалисты по кибербезопасности компании Koi Security нашли в каталоге дополнений Mozilla Firefox 40 вредоносных расширений. Фишинговые дополнения выдавали себя за MetaMask, Coinbase Wallet, Trust Wallet, Phantom, Exodus и другие известные криптокошельки и собирали сид-фразы.