A empresa de segurança Socket associou 40 identidades de extensões do Firefox a uma campanha que designa como "Offside Wallet Theft Factory", na qual cargas de drenagem de carteiras visaram frases de recuperação, chaves privadas e conjuntos de chaves serializados. A campanha decorreu pelo menos entre 9 de março e 3 de agosto, com 77 identidades ligadas no total; 40 continham comportamento malicioso confirmado e 37 eram invólucros enganadores de resultados desportivos cujas versões analisadas não apresentavam carga de roubo confirmada. Nove das 40 tinham distribuído previamente ferramentas de aspeto inofensivo de resultados desportivos sob os mesmos IDs do Firefox antes de substituírem por versões que roubam carteiras.
Por que razão importa
O truque na cadeia de abastecimento importa mais do que o número. Como o modelo de assinatura da Mozilla confia na identidade de uma extensão assim que aprovada, substituir uma versão inofensiva por uma maliciosa com o mesmo ID ultrapassa as verificações superficiais em que os utilizadores confiam. Os históricos de versões da Socket mostram atividade concentrada em abril e no final de julho, com várias extensões ainda ativas quando foram denunciadas à Mozilla. A 0KX WEB3 servia sete utilizadores a meio da análise antes de a Mozilla a remover. Qualquer pessoa cuja frase de recuperação, chave privada ou conjunto de chaves da carteira tenha chegado a uma das 40 versões tem de tratar a carteira como permanentemente comprometida, já que desinstalar a extensão não revoga um segredo exposto.
Impacto no mercado
As 40 dividem-se em caminhos de ataque distintos: sete eram carregadores de phishing comandados remotamente, 15 capturaram frases de recuperação, chaves privadas ou outros segredos de carteira, 13 eram clones modificados do software de carteira Rabby que transmitiam conjuntos de chaves serializados antes de a encriptação local os poder proteger, e cinco recolheram credenciais e dados da área de transferência. A escala de exposição é concreta. Utilizadores que tenham introduzido uma frase de recuperação ou chave privada numa versão afetada precisam de mover os ativos restantes para uma carteira nova gerada a partir de uma nova frase de recuperação. Os atingidos apenas pelas variantes de credenciais ou área de transferência precisam de redefinir palavras-passe, terminar sessões e verificar quaisquer destinos de transferência copiados. A Mozilla afirma depender de indicadores de risco automatizados e revisão humana para detetar estes casos, e aconselha instalar apenas extensões cujo link venha do site oficial do fornecedor da carteira.
Perguntas frequentes
-
Como é que as extensões maliciosas do Firefox roubavam realmente as carteiras de cripto?
Usaram quatro caminhos de ataque distintos: carregadores de phishing comandados remotamente, captura de frases de recuperação e chaves privadas, clones modificados da Rabby que exfiltraram conjuntos de chaves serializados antes da encriptação local, e recolha de credenciais e dados da área de transferência.
-
Porque é que nove das extensões maliciosas são particularmente preocupantes?
Esses nove IDs distribuíram primeiro ferramentas inofensivas de resultados desportivos, depois substituíram-nas por cargas de drenagem de carteiras sob os mesmos IDs de extensão do Firefox já tidos como de confiança, explorando o modelo de confiança pela identidade da Mozilla.
-
Desinstalar a extensão torna a carteira segura outra vez?
Não. Frases de recuperação, chaves privadas e conjuntos de chaves serializados expostos a qualquer uma das 40 versões permanecem comprometidos após a remoção da extensão, e têm de ser substituídos através de uma carteira nova.
-
O que deve fazer de imediato alguém que usou uma extensão afetada?
Mova os ativos restantes para uma carteira nova gerada a partir de uma nova frase de recuperação, caso tenha sido exposta uma frase de recuperação, chave privada ou conjunto de chaves da Rabby; altere palavras-passe, termine sessões ativas e verifique endereços de transferência copiados, se apenas credenciais ou dados…
-
Como respondeu a Mozilla ao relatório da Socket?
A Mozilla removeu várias extensões antes da publicação da Socket, incluindo a 0KX WEB3, que estava ativa com sete utilizadores durante a análise. A organização afirma depender de indicadores de risco automatizados e revisão humana para detetar extensões maliciosas de carteiras.
TheBlock
CoinTelegraph
CoinDesk
Lookonchain
Crypto News
WuBlockchain