CryptoSlate
Güvenlik firması Socket, 40 Firefox eklenti kimliğini 'Offside Wallet Theft Factory' adını verdiği bir kampanyaya bağladı. Bu kampanyada cüzdan drenaj yükleri kurtarma ifadelerini, özel anahtarları ve serileştirilmiş anahtar dizilerini hedef aldı. Kampanya en az 9 Mart'tan 3 Ağustos'a kadar sürdü ve toplam 77 kimlikle bağlantılıydı; 40'ında onaylanmış kötü amaçlı davranış tespit edildi, 37'si ise analiz edilen sürümlerinde onaylanmış hırsızlık yükü taşımayan aldatıcı spor skoru kabuklarıydı. 40 kimlikten dokuzu, daha önce aynı Firefox kimlikleri altında zararsız görünümlü spor skoru araçları dağıtmış, ardından cüzdan çalan sürümlerle değiştirmişti.
Neden önemli
Tedarik zinciri hilesi, sayıdan daha önemli. Mozilla'nın imzalama modeli bir eklentinin kimliğine onaylandıktan sonra güvendiği için, aynı kimlik altında zararsız bir yapıyı kötü amaçlı bir yapıyla değiştirmek, kullanıcıların güvendiği yüzeysel kontrolleri geçiyor. Socket'in sürüm geçmişleri, Nisan ve Temmuz sonunda yoğunlaşan etkinlik gösteriyor; Socket Mozilla'ya bildirdiğinde birçok eklenti hâlâ yayında. 0KX WEB3, Mozilla kaldırmadan önce analiz sırasında yedi kullanıcıya hizmet veriyordu. Kurtarma ifadesi, özel anahtarı veya cüzdan anahtar dizisi 40 sürümden herhangi birine ulaşan herkes, cüzdanını kalıcı olarak ele geçirilmiş saymalıdır, çünkü eklentiyi kaldırmak ifşa olmuş bir sırrı geri alamaz.
Piyasa etkisi
40 eklenti farklı saldırı yollarına ayrılıyor: yedisi uzaktan kontrol edilen kimlik avı yükleyicisi, 15'i kurtarma ifadelerini, özel anahtarları veya diğer cüzdan sırlarını yakaladı, 13'ü yerel şifreleme onları koruyamadan önce serileştirilmiş anahtar dizilerini ileten Rabby cüzdan yazılımının değiştirilmiş klonlarıydı ve beşi kimlik bilgileri ile pano verilerini topladı. İfşa merdiveni somut. Etkilenen bir yapıya kurtarma ifadesi veya özel anahtar giren kullanıcıların, kalan varlıklarını yeni bir kurtarma ifadesinden oluşturulan taze bir cüzdana taşımaları gerekiyor. Yalnızca kimlik bilgisi veya pano varyantlarından etkilenenler, parola sıfırlaması, oturum sonlandırma ve kopyalanan transfer hedeflerinin doğrulanmasına ihtiyaç duyuyor. Mozilla, bunları yakalamak için otomatik risk göstergelerine ve insanlı incelemeye güvendiğini söylüyor ve yalnızca cüzdan sağlayıcısının resmi sitesinden bağlantısı verilen eklentilerin kurulmasını tavsiye ediyor.
Sıkça sorulan sorular
-
Kötü amaçlı Firefox eklentileri kripto cüzdanlarını gerçekte nasıl çaldı?
Dört farklı saldırı yolu kullandılar: uzaktan kontrol edilen kimlik avı yükleyicileri, kurtarma ifadesi ve özel anahtar yakalama, yerel şifrelemeden önce serileştirilmiş anahtar dizilerini sızdıran değiştirilmiş Rabby klonları ve kimlik bilgisi ile pano verisi toplayıcıları.
-
Kötü amaçlı eklentilerden dokuzu neden özellikle endişe verici?
O dokuz kimlik önce zararsız spor skoru araçları dağıttı, ardından aynı güvenilir Firefox eklenti kimlikleri altında cüzdan drenaj yükleriyle değiştirildi; bu, Mozilla'nın kimliğe dayalı güven modelini istismar ediyor.
-
Eklentiyi kaldırmak cüzdanı tekrar güvenli hâle getirir mi?
Hayır. 40 sürümden herhangi birine ifşa olan kurtarma ifadeleri, özel anahtarlar ve serileştirilmiş anahtar dizileri, eklenti kaldırıldıktan sonra da ele geçirilmiş kalır ve taze bir cüzdan üzerinden döndürülmelidir.
-
Etkilenen bir eklentiyi kullanan biri şu an ne yapmalı?
Kurtarma ifadesi, özel anahtar veya Rabby anahtar dizisi ifşa olduysa kalan varlıkları yeni bir kurtarma ifadesinden oluşturulan taze bir cüzdana taşıyın; yalnızca kimlik bilgisi veya pano verisi risk altındaysa parolaları değiştirin, etkin oturumları sonlandırın ve kopyalanan transfer adreslerini doğrulayın.
-
Mozilla, Socket'in raporuna nasıl yanıt verdi?
Mozilla, analiz sırasında yedi kullanıcıyla yayında olan 0KX WEB3 dahil birkaç eklentiyi Socket'in yayınından önce kaldırdı. Kuruluş, kötü amaçlı cüzdan eklentilerini yakalamak için otomatik risk göstergelerine ve insanlı incelemeye güvendiğini söylüyor.
TheBlock
CoinTelegraph