悪意のあるChrome拡張機能がソラナのトレーダーから数ヶ月にわたってひそかに手数料を盗んでいる

ソース: PortaldoBitcoin 元のタイトル: Chrome拡張が数ヶ月間Solanaのトレーダーの手数料を転送する オリジナルリンク: Chromeの拡張機能は、実用的な取引ツールとして販売されており、昨年の6月以来、ユーザーの取引からSolana (SOL)を秘密裏に迂回させ、各取引に隠れた手数料を注入しながら、正当なSolana取引アシスタントに偽装しています。

サイバーセキュリティ企業Socketは、エンジニア兼セキュリティ研究者のクッシュ・パンディヤによると、Chromeウェブストアの「継続的な監視」の最中に悪意のある拡張機能Crypto Copilotを発見しました。

悪意のある拡張機能の分析の中で、PandyaはCrypto CopilotがSolanaの交換ごとのトランザクションに静かに追加の転送命令を加え、攻撃者が管理するウォレットに対して最低0.0013 SOLまたは取引額の0.05%を抽出していると述べました。

"私たちのAIスキャナーは、いくつかの指標を示しました：コートの攻撃的な難読化、トランザクションのロジックに埋め込まれたSolanaアドレス、および拡張機能の宣言された機能とネットワークの実際の動作との間の不一致です"とPandyaは述べ、"これらの警告は、手動によるより深い分析を引き起こし、料金を隠して抽出するメカニズムを確認しました"と付け加えました。

調査は、特にソーシャルメディアとの統合や取引署名機能を組み合わせたブラウザベースの暗号ツールにリスクがあることを示しています。

報告によると、この拡張機能は数ヶ月間Chromeウェブストアで利用可能であり、ユーザーに対して開示されていない手数料についての警告は一切なく、非常に難解なコードに隠されていた。

"Chrome Web Storeの拡張機能のページには、料金の動作は決して公開されず、それを実装する論理は高度に難読化されたコードに隠されている"とPandyaは述べた。

ユーザーがトークンを交換するたびに、拡張機能は正しいRaydium交換指示を生成しますが、巧妙に攻撃者のアドレスにSOLを転送する追加のトランスファーを加えます。

Raydiumは、暗号通貨Solanaに基づく分散型取引所であり、自動マーケットメイカーですが、「Raydium交換」とは、単にその流動性プールを通じてトークンを別のトークンに交換することを指します。

Crypto Copilotをインストールしたユーザーは、それがSolanaでの取引を簡素化すると信じて、知らず知らずのうちに各取引で隠れた手数料を支払っており、その手数料は拡張機能のマーケティング資料やChromeウェブストアのリストに一度も表示されていません。

インターフェースは取引の詳細のみを表示し、ウォレットのポップアップはトランザクションを要約するため、ユーザーは一見単一の取引のように見えるものにサインしますが、実際には両方の指示がブロックチェーン上で同時に実行されています。

攻撃者のウォレットには現在まで小額の資金しか受け取っておらず、これはCrypto Copilotがまだ多くのユーザーに達していないことを示しており、脆弱性が低リスクであることを示すものではないと報告されています。

手数料のメカニズムは、取引のサイズに比例しています。2.6 SOL未満のスワップには最低0.0013 SOLの手数料が適用され、この限度を超えると0.05%の割合手数料が発生します。つまり、100 SOLのスワップでは約0.05 SOL、現在の価格で約10米ドルがかかることになります。

拡張機能の主要ドメインはGoDaddyに登録されており、バックエンドはウォレットデータを収集しているにもかかわらず、レポートによると白いページのみを表示しています。

Socketは、GoogleのChromeウェブストアのセキュリティチームに削除リクエストを送信しましたが、拡張機能は公開時点でまだ利用可能でした。

プラットフォームは、ユーザーが取引に署名する前に各指示を確認し、署名権限を要求するクローズドソースの取引拡張を避け、Crypto Copilotをインストールしている場合は資産をクリーンなウォレットに移行することを推奨します。

マルウェアの標準

マルウェアは暗号通貨ユーザーにとってますます懸念される問題となっています。9月には、ModStealerという名前のマルウェアの亜種が、偽の求人広告を通じてWindows、Linux、macOSのシステム上の暗号通貨ウォレットを狙っていることが発見され、主要なアンチウイルスからの検出をほぼ1ヶ月間回避することに成功しました。

ウォレットプラットフォームの技術責任者であるチャールズ・ギルメットは、侵入者がNPMの開発者アカウントを侵害し、複数のブロックチェーンでの取引中に暗号通貨のウォレットアドレスを静かに入れ替えようとする悪意のあるコードが存在することを警告していた。