В Firefox обнаружили фальшивые расширения кошельков Phantom, Jupiter и Bitget

Специалисты Socket's Threat Research обнаружили в Mozilla Firefox три вредоносных расширения, маскирующихся под известные криптокошельки — Phantom, Jupiter и Bitget. Злоумышленники копировали иконки, названия и рекламные описания настоящих приложений, из-за чего пользователи, искавшие проверенный кошелек, устанавливали подделку.

Фальшивое расширение Phantom называлось Official Phantom Wallet (Firefox Update) и использовало визуально похожие символы в названии, чтобы отображаться как оригинал. Приложение следило за вводом мнемонических фраз из 12, 15, 18 или 24 слов, а также приватных ключей для сетей Эфириума и Solana — программа считывала текстовые поля и буфер обмена, а данные отправляла на сервер в формате JSON.

Внутри пакета Phantom работал отдельный бэкенд-дрейнер — файл server.js на Node.js. Он сохранял украденные данные локально, пересылал их в телеграм-бот и запускал перевод активов на заранее подготовленные адреса в сетях Биткоина, Эфириума, BSC, Polygon, Arbitrum, Optimism, Base, Avalanche и Solana.

Подделки под Jupiter и Bitget — последняя выдавала себя за приложение TabFlow Pro с брендингом Bitget — напрямую отправляли мнемонические фразы на домены jupiter.bonto.io и bitget.bonto.io. Все похищенные данные уходили на поддомены одного управляющего сервера bonto.io. Фальшивый Jupiter также запрашивал доступ к Trezor Connect.

Мошенники искусственно накручивали отзывы: за пару дней их количество у поддельного Phantom выросло с 275 до 546, а рейтинг — с 2,9 до 3,9. Данных о числе жертв и суммах потерь нет. Все три расширения уже удалены из магазина Firefox.

Ранее эксперты Socket находили 16 похожих вредоносных расширений, имитирующих кошельки Rabby и OKX и маскировавшихся под портал-кошельки, десктопные утилиты и браузерные инструменты.