Вредоносные расширения Firefox выдают себя за популярные криптокошельки и крадут ключи через Telegram

Специалисты по кибербезопасности из Socket выявили три поддельных расширения для Firefox, имитировавших известные криптокошельки Phantom, Jupiter и Bitget. После установки они незаметно собирали секретные фразы восстановления и приватные ключи, давая злоумышленникам полный контроль над активами жертв. Криптокошелёк не хранит монеты напрямую — те остаются в блокчейне.

Его задача — управлять цифровыми ключами, которые подтверждают право распоряжаться средствами. При создании кошелька пользователь получает фразу восстановления из 12, 15, 18 или 24 слов. Это не обычный пароль, а резервная копия ключей: кто владеет фразой, тот владеет и деньгами.

Злоумышленники разместили вредоносные копии в каталоге Firefox Add-ons. Настоящий Jupiter предлагает расширения для Chrome, Brave и Edge, Bitget — только для Chrome, а Phantom вообще прекратил поддержку своей версии для Firefox. Тем не менее фальшивки оставались доступны для загрузки.

Пока одни разработчики запускают игровые аналоги соцсетей — например, playclip, задуманный как TikTok для игр, — другие используют популярные площадки вроде каталогов расширений для кражи криптокошельков. Подделки умели считывать вводимые и вставленные фразы, а также сканировать экраны, где эти фразы отображались. Особую опасность представлял вариант, маскировавшийся под Phantom.

Его серверная часть не только записывала украденные секреты, но и пересылала их в Telegram-бота, после чего автоматически выводила средства на заранее заданные адреса в сетях Ethereum, BSC, Polygon, Arbitrum, Optimism, Base, Avalanche, Solana и Bitcoin. Фраза восстановления или приватный ключ — это предъявительская ценность. Любой, кто их получит, может мгновенно переместить активы без возможности отмены.

Поэтому атакующие стремились перехватывать данные и при вводе, и при показе на экране. Все три расширения уже удалены из каталога Firefox, но если вы успели их установить, необходимо немедленно удалить их через меню браузера. Если вы хотя бы раз вводили фразу или ключ в такое расширение, создайте новый кошелёк на чистом устройстве и переведите туда все средства — старый кошелёк считается скомпрометированным.

В дальнейшем устанавливайте криптокошельки только по ссылкам с официальных сайтов разработчиков, а не через поиск в магазинах расширений. Обращайте внимание на запрашиваемые разрешения: поддельный Phantom требовал доступ ко всем данным на всех сайтах и не имел политики конфиденциальности. Это явные красные флаги.

Никогда не вводите фразу восстановления на веб-страницах. Её нужно вводить исключительно в официальном приложении кошелька при восстановлении доступа. Служба поддержки никогда не попросит вас сообщить эту фразу.

Используйте современное антивирусное решение с защитой в реальном времени, которое блокирует вредоносные сайты. В частности, Malwarebytes уже блокирует поддомены bonto.io, связанные с этой кампанией. Идентификаторы вредоносных расширений: 3092199 (имитация Phantom), 3092666 (Jupiter) и 3092059 (Bitget).

В инфраструктуре атакующих фигурировали поддомены phantom.bonto.io, jupiter.bonto.io, bitget.bonto.io, coinbase.bonto.io, exodus.bonto.io и IP-адреса 104.21.34.69 и 172.67.155.198. Своевременное удаление угроз и осторожность при выборе расширений остаются главной защитой. Киберпреступники постоянно адаптируют методы, и бдительность пользователя — последний рубеж, который они пытаются обойти.