Зловредные расширения Chrome тайно крали комиссии у трейдеров Solana в течение нескольких месяцев

Источник: PortaldoBitcoin Оригинальное название: Расширение Chrome отклоняет сборы трейдеров Solana на протяжении нескольких месяцев Оригинальная ссылка: Расширение для Chrome, продаваемое как удобный инструмент для торговли, с июня прошлого года тайно отклоняет Solana (SOL) от транзакций пользователей, встраивая скрытые комиссии в каждую транзакцию, притворяясь легитимным помощником по торговле Solana.

Компания кибербезопасности Socket обнаружила вредоносное расширение Crypto Copilot во время “постоянного мониторинга” Chrome Web Store, как сообщил инженер и исследователь безопасности Куш Пандья.

В анализе злонамеренной активности Пандья написал, что Crypto Copilot тихо добавляет дополнительную инструкцию на перевод к каждой сделке обмена Solana, извлекая минимум 0,0013 SOL или 0,05% от суммы сделки на кошелек, контролируемый злоумышленником.

“Наш ИИ-сканер выявил несколько индикаторов: агрессивная обфускация кода, встроенный в логику транзакции адрес Solana и несоответствия между заявленной функциональностью расширения и реальным поведением сети”, - сказал Пандья, добавив, что “эти предупреждения вызвали более глубокий ручной анализ, который подтвердил скрытый механизм извлечения сборов.”

Исследование указывает на риски, связанные с криптоинструментами на основе браузера, в частности с расширениями, которые сочетают интеграцию с социальными медиа и функции подписи транзакций.

Расширение оставалось доступным в магазине Chrome Web Store в течение месяцев, не уведомляя пользователей о нераскрытых сборах, скрытых в сильно запутанном коде, утверждает отчет.

“Поведение сборов никогда не раскрывается на странице расширения в Chrome Web Store, и логика, реализующая это, скрыта в сильно обфусцированном коде”, отметил Пандья.

Каждый раз, когда пользователь обменивает токены, расширение генерирует правильную инструкцию обмена Raydium, но незаметно добавляет дополнительный перевод, направляя SOL на адрес злоумышленника.

Raydium — это децентрализованная автоматизированная биржа и маркет-мейкер на базе криптовалюты Solana, в то время как “обмен Raydium” просто означает обмен одного токена на другой через его пулы ликвидности.

Пользователи, установившие Crypto Copilot, веря, что он упростит их торговлю с Solana, без ведома платят скрытые комиссии за каждую сделку, которые никогда не упоминались в маркетинговых материалах расширения или в списке в Chrome Web Store.

Интерфейс показывает только детали обмена, а всплывающие окна кошелька суммируют транзакцию, так что пользователи подписывают то, что выглядит как единственный обмен, хотя обе инструкции выполняются одновременно в блокчейне.

Кошелек злоумышленника получил лишь небольшие суммы на данный момент, что является признаком того, что Crypto Copilot еще не достиг многих пользователей, а не указанием на то, что уязвимость представляет собой низкий риск, как сообщается.

Механизм сборов пропорционален размеру транзакции. Для свопов меньше 2,6 SOL применяется минимальная комиссия в 0,0013 SOL, и выше этого предела начинает действовать процентная ставка в 0,05%. Это означает, что своп на 100 SOL обойдется в 0,05 SOL, что примерно составляет 10 долларов США по текущим ценам.

Основной домен расширения зарегистрирован на GoDaddy, в то время как бэкенд отображает только пустую страницу, несмотря на сбор данных из кошельков, согласно отчету.

Компания Socket отправила запрос на удаление команде безопасности Chrome Web Store от Google, хотя расширение оставалось доступным на момент публикации.

Платформа рекомендует пользователям пересматривать каждую инструкцию перед подписанием транзакций, избегать закрытых торговых расширений, которые запрашивают разрешения на подпись, и мигрировать свои активы в чистые кошельки, если они установили Crypto Copilot.

Стандарты вредоносного ПО

Малварь продолжает быть растущей проблемой для пользователей криптовалют. В сентябре была обнаружена разновидность малвари под названием ModStealer, нацеленная на криптовалютные кошельки в системах Windows, Linux и macOS через ложные объявления о найме, сумевшая избежать обнаружения главными антивирусами почти месяц.

Директор по технологиям платформы кошелька, Шарль Гийемет, уже предупреждал, что злоумышленники скомпрометировали аккаунт разработчика NPM, с вредоносным кодом, пытающимся тихо поменять адреса криптовалютных кошельков во время транзакций на множественных блокчейнах.