Μια νέα απειλή έχει εμφανιστεί στην κοινότητα trading του Solana. Ερευνητές ασφάλειας ανακάλυψαν μια κακόβουλη επέκταση Chrome με το όνομα Crypto Copilot, η οποία φαίνεται να προσφέρει χρήσιμα εργαλεία για trading, αλλά στην πραγματικότητα κλέβει κρυπτονομίσματα από τους χρήστες κατά τις συναλλαγές τους.
Δείτε επίσης: Κακόβουλη επέκταση του Prettier στο VSCode Marketplace διανέμει το Anivia Stealer
Η επέκταση κυκλοφόρησε στο Chrome Web Store στις 18 Ιουνίου 2024 και κατάφερε να παραμείνει διαθέσιμη, κλέβοντας αθόρυβα κεφάλαια από εκατοντάδες traders που πίστευαν ότι χρησιμοποιούσαν ένα νόμιμο εργαλείο. Η επέκταση παρουσιάζεται ως μια εύχρηστη λύση για traders του Solana που θέλουν να πραγματοποιούν γρήγορα swaps απευθείας από την πλατφόρμα κοινωνικής δικτύωσης X.
Συνδέεται με δημοφιλά wallets όπως τα Phantom και Solflare, εμφανίζει δεδομένα σε πραγματικό χρόνο από το DexScreener και δρομολογεί τις συναλλαγές μέσω του Raydium, ενός από τους μεγαλύτερους αποκεντρωμένους ανταλλακτήρες στο Solana. Οι διαφημιστικές παρουσιάσεις υπόσχονται ταχύτητα, ευκολία και συναλλαγές με ένα κλικ, χωρίς να αναφέρουν κρυφά κόστη ή επιπλέον χρεώσεις.
Αναλυτές ασφάλειας από το Socket.dev εντόπισαν την κακόβουλη λειτουργία στον κώδικα της επέκτασης. Κρυμμένος πίσω από την ελκυστική διεπαφή υπάρχει ένας εξελιγμένος μηχανισμός που κλέβει χρεώσεις χωρίς να το γνωρίζει ο χρήστης.
Δείτε ακόμα: Το malware ‘Maverick’ στοχεύει πελάτες τραπεζών στη Βραζιλία μέσω WhatsApp
Κάθε φορά που ένας χρήστης πραγματοποιεί swap, η επέκταση Chrome εισάγει μια μη δηλωμένη μεταφορά που αποστέλλει τουλάχιστον 0,0013 SOL ή 0,05% της συνολικής αξίας της συναλλαγής σε μια διεύθυνση πορτοφολιού που ελέγχεται από τον επιτιθέμενο: Bjeida13AjgPaUEU9xrh1iQMwxZC7QDdvSfg730xQff7.
Η επίθεση λειτουργεί τροποποιώντας τον τρόπο με τον οποίο δημιουργούνται οι συναλλαγές στο επίπεδο του blockchain. Όταν ο χρήστης ξεκινά ένα swap, η επέκταση κατασκευάζει αρχικά τη νόμιμη εντολή swap του Raydium.
Στη συνέχεια, προσθέτει αθόρυβα μια δεύτερη εντολή, η οποία περιλαμβάνει μια εντολή SystemProgram.transfer που μεταφέρει SOL από το πορτοφόλι του χρήστη απευθείας στη διεύθυνση του επιτιθέμενου.
Το περιβάλλον χρήσης εμφανίζει μόνο τα στοιχεία του swap, δίνοντας μια ψευδή εντύπωση ότι όλα είναι κανονικά. Οι περισσότερες οθόνες επιβεβαίωσης των wallets δείχνουν μία συνοπτική παρουσίαση της συναλλαγής χωρίς να αναλύουν ξεχωριστά τις εντολές, με αποτέλεσμα οι χρήστες να υπογράφουν αυτό που νομίζουν ότι είναι μία μόνο συναλλαγή, ενώ στην πραγματικότητα εκτελούνται και οι δύο στην αλυσίδα.
Δείτε επίσης: Χάκερ καταχρώνται τις επεκτάσεις του VS Code για ανάπτυξη Ransomware
Οι ερευνητές της Socket εντόπισαν επίσης επιπλέον κακόβουλες λειτουργίες πέρα από την κλοπή χρεώσεων. Η επέκταση αποστέλλει τα δημόσια κλειδιά των συνδεδεμένων πορτοφολιών σε έναν απομακρυσμένο διακομιστή στη διεύθυνση crypto[.]copilot-dashboard[.]vercel[.]app/api/users, παραβιάζοντας την ιδιωτικότητα των χρηστών.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
