Os pesquisadores de ameaças da Socket encontraram três extensões maliciosas do Firefox que se faziam passar pelas carteiras de criptomoedas Phantom, Jupiter e Bitget.
Uma vez instaladas, as extensões maliciosas roubavam frases de recuperação e chaves privadas, o que daria ao atacante controle total da carteira.
Uma carteira de criptomoedas é um aplicativo, extensão de navegador ou dispositivo físico que permite gerenciar criptomoedas como o Bitcoin. Apesar do nome, ela não armazena fisicamente suas moedas. Essas moedas são registradas em um blockchain , um registro digital compartilhado de transações. Em vez disso, a carteira gerencia as chaves digitais secretas que permitem acessar e gastar suas criptomoedas.
Ao criar uma carteira, você pode receber uma frase de recuperação: uma lista de palavras que você pode usar para restaurar o acesso. Anote-a e guarde-a offline. Ela funciona como um backup das suas chaves, não é apenas uma senha comum. Qualquer pessoa que a obtiver poderá controlar seus fundos, e é por isso que extensões de carteira falsas tentam roubá-la.
Criminosos cibernéticos listaram três extensões de carteira falsas nos complementos do Firefox, se passando por Phantom, Jupiter e Bitget. As carteiras genuínas oferecem extensões para outros navegadores: Jupiter lista Chrome , Corajoso, e Edge A extensão do Bitget é para Chrome E a Phantom afirma que sua extensão para Firefox não é mais compatível .
As extensões maliciosas procuravam frases de recuperação de 12, 15, 18 e 24 palavras, bem como chaves privadas do Ethereum e do Solana. Elas conseguiam ler campos de entrada, detectar texto colado e analisar telas que exibiam frases de recuperação.
Uma frase de recuperação ou chave privada é um segredo de portador: quem a detém controla a carteira e pode movimentar seus ativos. O sistema da variante Phantom registrava os segredos capturados, enviava-os para um bot do Telegram e transferia automaticamente os fundos para endereços de pagamento predefinidos. Esses endereços abrangiam Ethereum, BSC, Polygon, Arbitrum, Optimism, Base, Avalanche, Solana e Bitcoin. A variante Phantom conseguia ler uma frase tanto quando digitada durante a importação quanto quando exibida em uma tela de apresentação.
Como se manter seguro
A Socket afirma que todas as três extensões estavam ativas nos complementos do Firefox durante a análise e já foram removidas. Mas, se você encontrar alguma dessas extensões no seu navegador Firefox, você deve:
- Remova a extensão. Use o menu de três pontos ao lado dela e escolha Remover .
- Se você alguma vez inseriu uma frase ou chave, crie uma nova carteira em um dispositivo limpo e transfira seus ativos imediatamente. Considere a carteira antiga comprometida.
- No futuro, instale carteiras apenas a partir do link do site oficial do fornecedor, e não pelos resultados de busca da loja de aplicativos.
- O anúncio falso do Phantom solicitava acesso a dados em todos os sites e não possuía política de privacidade. Esses são sinais de alerta que você deve ficar atento.
- Utilize uma solução antimalware atualizada e em tempo real que bloqueie sites maliciosos.
Nunca insira sua frase de recuperação em um site. Insira-a somente no aplicativo oficial da carteira ao restaurar seus dados. O suporte da carteira nunca solicitará essa informação.
IOCs
As extensões maliciosas:
- Personagem fantasma: ID do complemento 3092199
- Imitador de Júpiter: ID do complemento 3092666
- Representante do Bitget: ID do complemento 3092059
Subdomínios:
bonto[.]iophantom[.]bonto[.]iojupiter[.]bonto[.]iobitget[.]bonto[.]iocoinbase[.]bonto[.]ioexodus[.]bonto[.]io
Endereços IP:
104.21.34[.]69172.67.155[.]198
Desde a denúncia de ameaças até a sua remoção.
Os riscos de cibersegurança nunca devem ir além das manchetes. Mantenha as ameaças longe dos seus dispositivos baixando Malwarebytes hoje mesmo .
