Fałszywe rozszerzenia portfeli kryptowalutowych Firefox: złośliwe oprogramowanie kradnie tajne frazy odzyskiwania

W ostatnich tygodniach badacze zajmujący się bezpieczeństwem odkryli niepokojącą falę fałszywych rozszerzeń portfeli kryptowalutowych dla przeglądarki Firefox. Atakujący celowo atakują użytkowników kryptowalut, stosując szczególnie podstępną taktykę: kradną tajne frazy odzyskiwania, które są kluczowe do uzyskania dostępu do cyfrowych aktywów. Do tej pory zidentyfikowano co najmniej 40 szkodliwych rozszerzeń, które podszywają się pod legalne portfele, takie jak OKX, Rabby czy TronLink.
Jak działa ta metoda oszustwa?
Przestępcy wykorzystują różne sposoby rozprzestrzeniania złośliwego oprogramowania: fałszywe strony internetowe, reklamy w mediach społecznościowych lub manipulowane wyniki wyszukiwania prowadzące do sklepu Firefox. Po zainstalowaniu jednego z tych rozszerzeń szkodliwe oprogramowanie działa w tle – czekając na idealny moment. Mianowicie wtedy, gdy wpisujesz swoją frazę odzyskiwania, na przykład podczas konfigurowania lub odzyskiwania portfela. W tym momencie wprowadzane dane są ukradkiem przechwytywane i wysyłane do atakujących.
Podstępność polega na tym, że fałszywe rozszerzenia są prawie doskonałymi kopiami oryginałów. Wykorzystują niemal identyczne nazwy, ikony, a nawet fałszywe recenzje, aby zyskać zaufanie. Niektóre warianty naśladują nawet inne popularne rozszerzenia przeglądarkowe, aby pozostać niewykrytymi.
Które portfele są szczególnie narażone?
Firmy zajmujące się bezpieczeństwem, takie jak Trend Micro i SentinelOne, odkryły, że ataki koncentrują się głównie na trzech rozszerzeniach portfeli:
- OKX Wallet: Jedno z najpopularniejszych rozszerzeń w ekosystemie OKX, używane przez wielu do handlu i zarządzania swoimi kryptoaktywami.
- Rabby Wallet: Portfel skupiony na Ethereum i DeFi, ceniony za swoją przyjazność dla użytkownika.
- TronLink: Szczególnie rozpowszechniony na rynkach azjatyckich, specjalizujący się w blockchainie Tron.
Ostrzeżenie: lista ta prawdopodobnie nie jest kompletna. Cyberprzestępcy stale dostosowują swoje metody, aby pozostać niewykrytymi.
Dlaczego frazy seed są tak niebezpieczne?
Fraza odzyskiwania (lub fraza seed) to ciąg składający się z 12 do 24 słów, który umożliwia dostęp do portfela. Ktokolwiek zdobędzie tę frazę, może ukraść całe twoje środki. I dokładnie na tym polegają ataki: wielu użytkowników wpisuje swoje frazy seed bezpośrednio w rozszerzeniach



przeglądarkowych – to doskonała okazja dla złośliwego oprogramowania.
Ukradzione frazy często trafiają na czarne rynki lub są bezpośrednio wykorzystywane do transferu środków kryptowalutowych. Ponieważ transakcje blockchainowe są nieodwracalne, istnieje niewielka szansa na odzyskanie utraconych środków.
Jak się chronić?
Oto kilka wskazówek, które osobiście mi pomogły:
1. Korzystaj tylko z oficjalnych źródeł: Instaluj rozszerzenia przeglądarkowe wyłącznie ze sklepów Firefox, Chrome lub Edge. Unikaj nieoficjalnych stron internetowych!
2. Sprawdzaj recenzje i liczbę użytkowników: Fałszywe rozszerzenia często mają niewiele lub nie mają żadnych recenzji. Jeśli rozszerzenie ma rzekomo miliony pobrań, ale tylko 10 osób z niego korzysta – to sygnał ostrzegawczy.
3. Sprawdzaj informacje o programiście: W sklepie Firefox znajdziesz sekcję „Szczegóły”, gdzie znajdują się informacje o twórcy. Czy nazwa zgadza się z oficjalnym portfelem? Czy istnieje oficjalny link do strony internetowej?
4. Wprowadzaj frazy seed offline: Nigdy nie wpisuj swojej frazy odzyskiwania w rozszerzeniu przeglądarkowym! Użyj oficjalnego oprogramowania portfela lub portfela sprzętowego.
5. Utrzymuj oprogramowanie w najnowszej wersji: Regularne aktualizacje zamykają luki w zabezpieczeniach – dotyczy to zarówno twojej przeglądarki, jak i systemu operacyjnego.
6. Uważaj na reklamy i wyskakujące okienka: Nie klikaj w podejrzane reklamy, które nakłaniają do instalacji rozszerzeń. Lepiej skorzystaj z oficjalnej strony Firefox.
Reakcja społeczności bezpieczeństwa
Odkrycie tych fałszywych rozszerzeń wywołało spore poruszenie. Firefox już usunął z sklepu część zgłoszonych rozszerzeń po tym, jak użytkownicy i badacze bezpieczeństwa zidentyfikowali je jako złośliwe. Jednak liczba niezgłoszonych przypadków jest wysoka – codziennie mogą pojawiać się nowe warianty.
Firmy takie jak SentinelOne zalecają regularne sprawdzanie zainstalowanych w przeglądarce rozszerzeń i zgłaszanie podejrzanych aktywności. Dodatkowym środkiem bezpieczeństwa jest przechowywanie fraz seed offline – na przykład na kartce papieru lub w sejfie. W ten sposób, w przypadku kradzieży, przynajmniej nie jesteś całkowicie bezbronny.
Moje wnioski
Cała ta sytuacja pokazuje raz jeszcze, jak ważna jest czujność i świadomość bezpieczeństwa w korzystaniu z kryptowalut. Cyberprzestępcy stają