L'extension Chrome Crypto Copilot détourne secrètement les frais des traders Solana

Source : PortaldoBitcoin Titre original : Une extension Chrome détourne les frais des traders de Solana depuis des mois Lien original : https://portaldobitcoin.uol.com.br/extensao-do-chrome-desvia-taxas-de-traders-de-solana-ha-meses/ Une extension Chrome, commercialisée comme un outil de trading pratique, vient de détourner secrètement Solana (SOL) des transactions des utilisateurs depuis juin dernier, injectant des frais cachés dans chaque transaction tout en se faisant passer pour un assistant de trading légitime de Solana.

La société de cybersécurité Socket a découvert l'extension malveillante Crypto Copilot lors de la “surveillance continue” du Chrome Web Store, comme l'a rapporté l'ingénieur et chercheur en sécurité Kush Pandya.

Analyse de l'extension malveillante

Dans une analyse détaillée de l'extension malveillante, Pandya a écrit que le Crypto Copilot ajoute silencieusement une instruction de transfert supplémentaire à chaque transaction d'échange de Solana, extrayant un minimum de 0,0013 SOL ou 0,05 % de la valeur de la transaction vers un portefeuille contrôlé par l'attaquant.

“Notre scanner IA a signalé plusieurs indicateurs : obfuscation agressive de code, une adresse Solana intégrée dans la logique de la transaction et des divergences entre la fonctionnalité déclarée de l'extension et le comportement réel du réseau”, a déclaré Pandya, ajoutant que “ces alertes ont déclenché une analyse manuelle plus approfondie qui a confirmé le mécanisme caché d'extraction de frais”.

La recherche pointe vers des risques dans les outils crypto basés sur le navigateur, en particulier les extensions qui combinent l'intégration avec les médias sociaux et les fonctionnalités de signature de transactions.

Manque de Transparence

L'extension est restée disponible sur le Chrome Web Store pendant des mois, sans aucun avertissement aux utilisateurs concernant les frais non divulgués, cachés dans un code hautement obscurci, affirme le rapport.

“Le comportement des taux n'est jamais divulgué sur la page de l'extension dans le Chrome Web Store, et la logique qui le met en œuvre est cachée dans un code hautement obscurci”, a observé Pandya.

Chaque fois qu'un utilisateur échange des tokens, l'extension génère l'instruction d'échange Raydium correcte, mais ajoute discrètement un transfert supplémentaire dirigeant SOL vers l'adresse de l'attaquant.

Raydium est une plateforme d'échange décentralisée et un market maker automatisé basé sur la cryptomonnaie Solana, tandis qu'un “échange Raydium” fait simplement référence à l'échange d'un token contre un autre via ses pools de liquidité.

Impact sur les Utilisateurs

Les utilisateurs qui ont installé le Crypto Copilot, croyant qu'il simplifierait leurs échanges avec Solana, ont payé, sans le savoir, des frais cachés à chaque échange, des frais qui n'ont jamais été mentionnés dans les supports marketing de l'extension ou dans la liste de la Chrome Web Store.

L'interface ne montre que les détails de l'échange, et les pop-ups du portefeuille résument la transaction, de sorte que les utilisateurs signent ce qui semble être un seul échange, même si les deux instructions sont exécutées simultanément sur la blockchain.

Le portefeuille de l'attaquant n'a reçu que de petites quantités jusqu'à présent, un signe que le Crypto Copilot n'a pas encore atteint de nombreux utilisateurs, et non une indication que la vulnérabilité soit de faible risque, comme rapporté.

Structure des frais

Le mécanisme des frais est proportionnel à la taille de la transaction. Pour les échanges inférieurs à 2,6 SOL, des frais minimums de 0,0013 SOL s'appliquent, et au-delà de cette limite, un taux de pourcentage de 0,05 % entre en vigueur. Cela signifie qu'un échange de 100 SOL facturerait 0,05 SOL, soit environ 10 $ aux prix actuels.

Le domaine principal de l'extension, cryptocopilot.app, est enregistré chez GoDaddy, tandis que le backend n'affiche qu'une page blanche, malgré la collecte de données de portefeuilles, selon le rapport.

Recommandations de Sécurité

Un Socket a envoyé une demande de suppression à l'équipe de sécurité de la Chrome Web Store de Google. La plateforme recommande aux utilisateurs :

• Révisez chaque instruction avant de signer les transactions
• Évitez les extensions de négociation à code fermé qui demandent des autorisations de signature
• Migrez vos actifs vers des portefeuilles propres si vous avez installé le Crypto Copilot

Contexte : Modèles de Malware en Cryptographie

Le malware continue d'être une préoccupation croissante pour les utilisateurs de cryptomonnaies. En septembre, une variante de malware appelée ModStealer a été découverte ciblant les portefeuilles de cryptomonnaies sur les systèmes Windows, Linux et macOS par le biais de fausses annonces de recrutement, réussissant à échapper à la détection des principaux antivirus pendant presque un mois.

Le directeur technique des entreprises de cybersécurité avait déjà alerté que des attaquants avaient compromis des comptes de développeurs, avec du code malveillant essayant de changer silencieusement les adresses des portefeuilles de cryptomonnaies lors de transactions sur plusieurs blockchains.