Socket нашла в Firefox три поддельных расширения кошельков Phantom, Jupiter и Bitget

Исследователи угроз из компании Socket нашли в каталоге дополнений Mozilla Firefox три вредоносных расширения. Они выдавали себя за криптовалютные кошельки Phantom, Jupiter и Bitget и умели похищать сид-фразы (мнемонические фразы для восстановления доступа) и закрытые ключи.

Злоумышленники скопировали у настоящих кошельков названия, иконки и рекламные описания. Человек, который искал проверенный кошелёк в магазине расширений, мог по ошибке поставить подделку. По данным Socket's Threat Research Team, украденные данные уходили на поддомены одного управляющего сервера — bonto[.]io.

Чем маскировались подделки

В названии фальшивого Phantom использовались визуально похожие символы, поэтому в списке оно выглядело как настоящее. Иконку с призраком скопировали, а само расширение назвали Official Phantom Wallet (Firefox Update). Поддельный Jupiter подавался как продукт Jupiter Exchange. Расширение под видом Bitget носило имя TabFlow Pro, но пользователю показывал брендинг Bitget.

Фальшивый Phantom отслеживал ввод мнемонических фраз из 12, 15, 18 или 24 слов, а также приватных ключей для сетей Ethereum и Solana. Он читал содержимое текстовых полей и вставку из буфера обмена, после чего отправлял данные на сервер злоумышленников в формате JSON. У подделок Jupiter и Bitget механизм кражи был встроен напрямую: фразы уходили на домены jupiter[.]bonto[.]io и bitget[.]bonto[.]io.

Вывод средств и накрутка рейтинга

Поддельный Jupiter также запрашивал доступ к Trezor Connect. В пакет фальшивого Phantom входил собственный бэкенд-дрейнер — файл Node.js server.js. Он сохранял похищенные секретные данные в локальные файлы, пересылал их в телеграм-бот, а затем запускал перевод активов на заранее подготовленные адреса в сетях Bitcoin, Ethereum, BSC, Polygon, Arbitrum, Optimism, Base, Avalanche и Solana.

Репутацию подделкам накручивали искусственно. За пару дней число отзывов о фальшивом Phantom выросло с 275 до 546, а рейтинг поднялся с 2,9 до 3,9. Сколько людей пострадало и на какие суммы, не уточняется. Все три расширения уже удалены из Firefox.

Socket находила похожие схемы и раньше: недавно её специалисты выявили 16 вредоносных расширений для Firefox, копировавших интерфейсы кошельков площадок Rabby и OKX. Те программы маскировались под полезные утилиты — порталы кошельков, десктопные инструменты и браузерные программы.