Das Sicherheitsunternehmen Socket hat 40 Firefox-Add-on-Identitäten mit einer Kampagne verknüpft, die es als "Offside Wallet Theft Factory" bezeichnet. Bei dieser Kampagne zielten Wallet-Draining-Payloads auf Wiederherstellungsphrasen, private Schlüssel und serialisierte Keyrings. Die Kampagne lief mindestens vom 9. März bis zum 3. August. Insgesamt waren 77 Identitäten damit verbunden; 40 enthielten bestätigtes schädliches Verhalten, und 37 waren trügerische Sportergebnis-Hüllen, deren analysierte Versionen keine bestätigte Diebstahl-Payload trugen. Neun der 40 hatten zuvor harmlos aussehende Sportergebnis-Tools unter denselben Firefox-IDs verbreitet, bevor sie auf Wallet-Stealing-Versionen umstellten.
Warum es wichtig ist
Der Supply-Chain-Trick ist wichtiger als die bloße Anzahl. Weil Mozillas Signaturmodell einer Erweiterungsidentität nach der Genehmigung vertraut, besteht der Trick darin, einen harmlosen Build unter derselben ID durch einen bösartigen zu ersetzen, der die oberflächlichen Prüfungen besteht, auf die sich Nutzer verlassen. Sockets Versionshistorien zeigen eine Häufung der Aktivität im April und Ende Juli, wobei mehrere Add-ons noch live waren, als Mozilla informiert wurde. 0KX WEB3 bediente mitten in der Analyse noch sieben Nutzer, bevor Mozilla es entfernte. Jeder, dessen Wiederherstellungsphrase, privater Schlüssel oder Wallet-Keyring eine der 40 Versionen erreicht hat, muss das Wallet als dauerhaft kompromittiert betrachten, da das Deinstallieren der Erweiterung ein offengelegtes Geheimnis nicht widerrufen kann.
Marktauswirkungen
Die 40 teilten sich in unterschiedliche Angriffspfade auf: Sieben waren ferngesteuerte Phishing-Loader, 15 erfassten Wiederherstellungsphrasen, private Schlüssel oder andere Wallet-Geheimnisse, 13 waren modifizierte Klone der Rabby-Wallet-Software, die serialisierte Keyrings übertrugen, bevor die lokale Verschlüsselung sie schützen konnte, und fünf sammelten Anmeldedaten und Zwischenablage-Daten. Die Expositionsstufen sind konkret. Nutzer, die eine Wiederherstellungsphrase oder einen privaten Schlüssel in einen betroffenen Build eingegeben haben, müssen verbleibende Vermögenswerte in ein frisches Wallet verschieben, das mit einer neuen Wiederherstellungsphrase generiert wurde. Wer nur von Anmeldedaten- oder Zwischenablage-Varianten betroffen ist, braucht Passwortzurücksetzungen, Sitzungsbeendigungen und die Überprüfung aller kopierten Überweisungsziele. Mozilla gibt an, sich auf automatisierte Risikoindikatoren plus menschliche Überprüfung zu verlassen, um diese zu erkennen, und rät, nur Erweiterungen zu installieren, die von der offiziellen Seite des Wallet-Anbieters verlinkt sind.
Häufig gestellte Fragen
-
Wie haben die bösartigen Firefox-Add-ons tatsächlich Krypto-Wallets gestohlen?
Sie nutzten vier unterschiedliche Angriffspfade: ferngesteuerte Phishing-Loader, Erfassung von Wiederherstellungsphrasen und privaten Schlüsseln, modifizierte Rabby-Klone, die serialisierte Keyrings vor der lokalen Verschlüsselung exfiltrierten, sowie Anmeldedaten- und Zwischenablage-Sammler.
-
Warum sind neun der bösartigen Add-ons besonders besorgniserregend?
Diese neun IDs verbreiteten zunächst harmlose Sportergebnis-Tools und tauschten dann unter denselben vertrauenswürdigen Firefox-Erweiterungs-IDs Wallet-Draining-Payloads ein, wobei sie Mozillas Vertrauensmodell nach Identität ausnutzten.
-
Macht eine Deinstallation des Add-ons das Wallet wieder sicher?
Nein. Wiederherstellungsphrasen, private Schlüssel und serialisierte Keyrings, die einer der 40 Versionen ausgesetzt waren, bleiben nach dem Entfernen der Erweiterung kompromittiert und müssen über ein frisches Wallet rotiert werden.
-
Was sollte jemand tun, der ein betroffenes Add-on verwendet hat?
Verschieben Sie verbleibende Vermögenswerte in ein frisches Wallet, das mit einer neuen Wiederherstellungsphrase generiert wurde, falls eine Wiederherstellungsphrase, ein privater Schlüssel oder ein Rabby-Keyring offengelegt wurde; ändern Sie Passwörter, beenden Sie aktive Sitzungen und überprüfen Sie kopierte…
-
Wie hat Mozilla auf Sockets Bericht reagiert?
Mozilla entfernte mehrere Add-ons vor Sockets Veröffentlichung, darunter 0KX WEB3, das während der Analyse mit sieben Nutzern aktiv war. Die Organisation gibt an, sich auf automatisierte Risikoindikatoren plus menschliche Überprüfung zu verlassen, um bösartige Wallet-Add-ons zu erkennen.
TheBlock
CoinTelegraph
Lookonchain