Un malicioso programa de extensión de Chrome roba sigilosamente tarifas a los traders de Solana durante meses.

Source: PortaldoBitcoin Título original: La extensión de Chrome desvia las tarifas de los traders de Solana desde hace meses Enlace original: Una extensión de Chrome, comercializada como una herramienta de negociación práctica, ha desviado secretamente Solana (SOL) de las transacciones de los usuarios desde junio pasado, inyectando tarifas ocultas en cada transacción mientras se disfraza de asistente legítimo de negociación de Solana.

La empresa de ciberseguridad Socket descubrió la extensión maliciosa Crypto Copilot durante el “monitoreo continuo” de la Chrome Web Store, según informó el ingeniero e investigador de seguridad Kush Pandya.

En un análisis de la extensión maliciosa, Pandya escribió que el Crypto Copilot agrega silenciosamente una instrucción de transferencia adicional a cada transacción de intercambio de Solana, extrayendo un mínimo de 0,0013 SOL o 0,05% del valor de la negociación a una cartera controlada por el atacante.

“Nuestro escáner de IA señaló varios indicadores: ofuscación agresiva de código, una dirección de Solana incrustada en la lógica de transacción y discrepancias entre la funcionalidad declarada de la extensión y el comportamiento real de la red”, dijo Pandya, añadiendo que “estas alertas desencadenaron un análisis manual más profundo que confirmó el mecanismo oculto de extracción de tarifas”.

La investigación apunta a riesgos en herramientas cripto basadas en navegador, particularmente extensiones que combinan integración con redes sociales y funciones de firma de transacciones.

La extensión permaneció disponible en la Chrome Web Store durante meses, sin ninguna advertencia a los usuarios sobre las tarifas no divulgadas, ocultas en un código altamente ofuscado, afirma el informe.

“El comportamiento de las tarifas nunca se divulga en la página de la extensión en Chrome Web Store, y la lógica que lo implementa está oculta en un código altamente ofuscado”, observó Pandya.

Cada vez que un usuario intercambia tokens, la extensión genera la instrucción de intercambio correcta de Raydium, pero discretamente agrega una transferencia extra dirigiendo SOL a la dirección del atacante.

Raydium es un intercambio descentralizado y creador de mercado automatizado basado en la criptomoneda Solana, mientras que un “intercambio Raydium” se refiere simplemente al intercambio de un token por otro a través de sus pools de liquidez.

Los usuarios que instalaron el Crypto Copilot, creyendo que simplificaría sus negociaciones con Solana, han estado pagando, sin saberlo, tarifas ocultas en cada intercambio, tarifas que nunca aparecieron en los materiales de marketing de la extensión o en la lista de la Chrome Web Store.

La interfaz solo muestra los detalles del intercambio, y las ventanas emergentes de la cartera resumen la transacción, de modo que los usuarios firman lo que parece ser un único intercambio, aunque ambas instrucciones se ejecuten simultáneamente en la blockchain.

La cartera del atacante ha recibido solo pequeñas cantidades hasta el momento, una señal de que el Crypto Copilot aún no ha alcanzado a muchos usuarios, y no una indicación de que la vulnerabilidad sea de bajo riesgo, según se informa.

El mecanismo de tarifas es proporcional al tamaño de la transacción. Para swaps inferiores a 2,6 SOL, se aplica una tarifa mínima de 0,0013 SOL, y por encima de este límite, entra en vigor una tarifa porcentual del 0,05%. Esto significa que un swap de 100 SOL cobraría 0,05 SOL, aproximadamente US$ 10 a los precios actuales.

El dominio principal de la extensión está registrado en GoDaddy, mientras que el backend solo muestra una página en blanco, a pesar de recopilar datos de carteras, según el informe.

Un Socket envió una solicitud de eliminación al equipo de seguridad de la Chrome Web Store de Google, aunque la extensión seguía disponible en el momento de la publicación.

La plataforma recomienda que los usuarios revisen cada instrucción antes de firmar transacciones, eviten extensiones de negociación de código cerrado que soliciten permisos de firma y migren sus activos a billeteras limpias en caso de haber instalado Crypto Copilot.

Patrones de malware

El malware sigue siendo una preocupación creciente para los usuarios de criptomonedas. En septiembre, se descubrió una variante de malware llamada ModStealer que tenía como objetivo las carteras de criptomonedas en sistemas Windows, Linux y macOS a través de anuncios falsos de reclutamiento laboral, logrando evadir la detección de los principales antivirus durante casi un mes.

El director de tecnología de una plataforma de billetera, Charles Guillemet, ya había advertido que los invasores habían comprometido una cuenta de desarrollador de NPM, con código malicioso intentando cambiar silenciosamente direcciones de billeteras de criptomonedas durante transacciones en múltiples blockchains.