Зловмисні розширення Chrome таємно крадуть збори у трейдерів Solana протягом кількох місяців

Джерело: PortaldoBitcoin Оригінальна назва: Розширення Chrome відволікає збори трейдерів Solana вже місяці Оригінальне посилання: Розширення для Chrome, яке рекламується як зручний інструмент для торгівлі, таємно відволікало Solana (SOL) від транзакцій користувачів з червня минулого року, injecting hidden fees into every transaction while disguising itself as a legitimate Solana trading assistant.

Компанія з кібербезпеки Socket виявила шкідливе розширення Crypto Copilot під час “безперервного моніторингу” Chrome Web Store, про що повідомив інженер і дослідник безпеки Куш Пандья.

У аналізі зловмисного розширення Пандья написав, що Crypto Copilot тихо додає додаткову інструкцію на переказ до кожної транзакції обміну Solana, вилучаючи мінімум 0,0013 SOL або 0,05% від вартості угоди на гаманець, контрольований зловмисником.

“Наш сканер штучного інтелекту виявив кілька показників: агресивне затемнення коду, вбудовану в логіку транзакції адресу Solana і розбіжності між задекларованою функціональністю розширення та реальним поведінкою мережі”, - сказав Пандя, додаючи, що “ці попередження спровокували більш детальний ручний аналіз, який підтвердив прихований механізм вилучення зборів”.

Дослідження вказує на ризики використання криптоінструментів, заснованих на веб-браузерах, зокрема розширень, які поєднують інтеграцію з соціальними мережами та функції підпису транзакцій.

Розширення залишалося доступним у Chrome Web Store протягом кількох місяців, без жодного попередження користувачам про невідомі збори, приховані в сильно зашифрованому коді, стверджує звіт.

“Поведение зборів ніколи не розголошується на сторінці розширення в Chrome Web Store, а логіка, що його реалізує, прихована в сильно зашифрованому коді”, зауважив Пандя.

Кожного разу, коли користувач обмінює токени, розширення генерує правильну інструкцію обміну Raydium, але непомітно додає додатковий переказ, спрямовуючи SOL на адресу зловмисника.

Raydium є децентралізованою біржею та автоматизованим маркет-мейкером на основі криптовалюти Solana, тоді як “біржа Raydium” просто відноситься до обміну одного токена на інший через її ліквідні пул.

Користувачі, які встановили Crypto Copilot, вважаючи, що він спростить їхні угоди з Solana, сплачували, не знаючи, приховані збори за кожну угоду, збори, які ніколи не з'являлися в маркетингових матеріалах розширення або у списку Chrome Web Store.

Інтерфейс показує лише деталі обміну, а спливаючі вікна гаманця підсумовують транзакцію, так що користувачі підписують те, що виглядає як єдиний обмін, навіть якщо обидва інструкції виконуються одночасно в блокчейні.

Гаманець зловмисника отримав лише невеликі суми до цього моменту, що є ознакою того, що Crypto Copilot ще не досягнув багатьох користувачів, а не вказує на те, що вразливість є малоризиковою, як повідомлялося.

Механізм збору зборів пропорційний розміру транзакції. Для свопів менше 2,6 SOL застосовується мінімальний збір у 0,0013 SOL, а вище цього ліміту починає діяти відсотковий збір у 0,05%. Це означає, що своп на 100 SOL стягне 0,05 SOL, приблизно 10 доларів США за поточними цінами.

Основний домен розширення зареєстровано на GoDaddy, тоді як бекенд відображає лише порожню сторінку, незважаючи на збір даних з гаманців, згідно з доповіддю.

Socket надіслав запит на видалення команді безпеки Chrome Web Store від Google, хоча розширення залишалося доступним на момент публікації.

Платформа рекомендує користувачам перевіряти кожну інструкцію перед підписанням транзакцій, уникати закритих розширень торгівлі, які запитують дозволи на підпис, і переміщати свої активи на чисті гаманці, якщо вони встановили Crypto Copilot.

Патерни шкідливого програмного забезпечення

Шкідливе програмне забезпечення залишається зростаючою проблемою для користувачів криптовалют. У вересні була виявлена варіація шкідливого програмного забезпечення під назвою ModStealer, яка націлювалася на криптовалютні гаманці в системах Windows, Linux та macOS через фальшиві оголошення про набір на роботу, змогла уникнути виявлення провідними антивірусами майже місяць.

Технічний директор платформи гаманця, Шарль Гійємет, вже попереджав, що зловмисники скомпрометували обліковий запис розробника NPM, з шкідливим кодом, який намагався тихо змінювати адреси криптовалютних гаманців під час транзакцій на кількох блокчейнах.