Les chercheurs en menaces de Socket ont découvert trois extensions Firefox malveillantes qui imitaient les portefeuilles crypto Phantom, Jupiter et Bitget.
Une fois installées, les extensions malveillantes volaient les phrases de récupération et les clés privées, ce qui permettait à l'attaquant de contrôler totalement un portefeuille.
Un portefeuille crypto est une application, une extension de navigateur ou un appareil physique permettant de gérer des cryptomonnaies comme le Bitcoin. Malgré son nom, il ne stocke pas physiquement vos cryptomonnaies. Celles-ci sont enregistrées sur une blockchain , un registre numérique partagé des transactions. Le portefeuille gère en réalité les clés numériques secrètes qui vous permettent d'y accéder et de les dépenser.
Lors de la création d'un portefeuille, une phrase de récupération peut vous être fournie : une liste de mots permettant de restaurer l'accès à votre compte. Notez-la et conservez-la hors ligne. Il s'agit d'une sauvegarde de vos clés, et non d'un simple mot de passe. Toute personne qui s'en empare peut accéder à vos fonds, c'est pourquoi les extensions de portefeuilles frauduleuses tentent de la voler.
Des cybercriminels ont répertorié trois extensions de portefeuille frauduleuses sur Firefox Modules complémentaires, se faisant passer pour Phantom, Jupiter et Bitget. Les portefeuilles authentiques proposent des extensions pour d'autres navigateurs : Jupiter est listé Chrome , Brave, et Edge L'extension de Bitget est pour Chrome ; et Phantom indique que son extension Firefox n'est plus prise en charge .
Ces extensions malveillantes recherchaient des phrases de récupération de 12, 15, 18 et 24 mots, ainsi que les clés privées Ethereum et Solana. Elles pouvaient lire les champs de saisie, détecter le texte collé et analyser les écrans affichant les phrases de récupération.
Une phrase de récupération, ou clé privée, est un secret de détenteur : celui qui la possède contrôle le portefeuille et peut en déplacer les actifs. Le système de Phantom enregistrait les secrets capturés, les envoyait à un bot Telegram et transférait automatiquement les fonds vers des adresses de paiement prédéfinies. Ces adresses couvraient les cryptomonnaies Ethereum, BSC, Polygon, Arbitrum, Optimism, Base, Avalanche, Solana et Bitcoin. Phantom pouvait lire une phrase aussi bien lors de sa saisie pendant l'importation que lors de son affichage sur un écran de confirmation.
Comment rester en sécurité
Socket indique que les trois extensions étaient actives sur Firefox Modules complémentaires lors de son analyse et ont depuis été supprimées. Si vous trouvez l'une de ces extensions dans votre navigateur Firefox, vous devriez :
- Supprimez l'extension. Utilisez le menu à trois points situé à côté et choisissez Supprimer .
- Si vous avez saisi une phrase ou une clé, créez un nouveau portefeuille sur un appareil propre et transférez-y immédiatement vos données . Considérez l'ancien portefeuille comme compromis.
- À l'avenir, installez les portefeuilles uniquement à partir du lien du site web officiel du fournisseur, et non à partir des résultats de recherche des boutiques en ligne.
- L'annonce frauduleuse de Phantom demandait l'accès aux données de tous les sites web et ne comportait aucune politique de confidentialité. Ce sont des signes avant-coureurs à surveiller.
- Utilisez une solution anti-malware à jour et en temps réel qui bloque les sites web malveillants.
Ne saisissez jamais votre phrase de récupération sur un site web. Saisissez-la uniquement dans l'application officielle de votre portefeuille lors de la restauration. Le support technique de votre portefeuille ne vous la demandera jamais.
CIO
Les extensions malveillantes :
- Imitateur fantôme : module complémentaire ID 3092199
- Imitateur de Jupiter : ID de l’extension 3092666
- Imitateur de Bitget : ID de l'extension 3092059
Sous-domaines :
bonto[.]iophantom[.]bonto[.]iojupiter[.]bonto[.]iobitget[.]bonto[.]iocoinbase[.]bonto[.]ioexodus[.]bonto[.]io
Adresses IP :
104.21.34[.]69172.67.155[.]198
Du signalement des menaces à leur suppression.
Les risques de cybersécurité ne devraient jamais dépasser le stade de la simple mention dans les médias. Protégez vos appareils des menaces en téléchargeant Malwarebytes dès aujourd'hui .
