Falsas extensões no Firefox atacam donos de criptomoedas e esvaziam carteiras digitais

Uma investigação conduzida pela equipe de cibersegurança da empresa Socket identificou uma rede coordenada de 77 extensões criadas para o navegador Mozilla Firefox que atuam no roubo de carteiras digitais de criptomoedas e credenciais de acesso.

O esquema opera, pelo menos, desde março e utiliza uma linha de produção em massa de softwares para enganar a moderação da loja oficial de complementos e atingir investidores do setor Web3.

Do total, 40 extensões tinham ferramentas diretas para roubar dados e desviar o dinheiro das vítimas.

As outras 37 funcionavam como iscas: prometiam recursos básicos no computador, como geradores de senhas ou ferramentas de captura de tela, mas apenas exibiam placares de jogos.

Essa estratégia servia para conseguir a aprovação na loja do Firefox sem levantar suspeitas, de acordo com os analistas.

Uma vez liberados, os autores alteravam esses mesmos programas e incluíam os códigos do golpe por meio de atualizações.

Entre os alvos imitados pelos criminosos estavam nomes populares do ecossistema de criptoativos, como OKX , Rabby Wallet e TronLink .

Os golpistas usavam técnicas visuais como a troca de letras por caracteres semelhantes, a exemplo do número zero no lugar da letra “O”, para fazer com que as extensões parecessem legítimas aos olhos dos usuários que navegavam pela loja do Firefox.

O pesquisador de segurança da Socket, Kirill Boychenko, descreveu que a dinâmica financeira compensa o esforço dos invasores, mesmo quando as ferramentas são removidas rapidamente após a denúncia: “Uma única instalação bem-sucedida pode expor uma frase de recuperação, chave privada ou estado de carteira que vale muito mais do que o custo de publicar repetidamente extensões descartáveis.

Essa lógica econômica ajuda a explicar a persistência dos criminosos em visar o ecossistema de extensões do Firefox, mesmo quando itens individuais têm vida curta e acabam excluídos”, afirmou.

Esquema criminoso O mecanismo de ação dos complementos maliciosos variava em diferentes abordagens, todas com o objetivo de capturar as chaves secretas e as frases de recuperação (senhas mestras de 12 a 24 palavras que dão acesso total ao patrimônio do usuário).

Em um grupo de extensões, os criminosos usavam um sistema de controle remoto que ativava telas falsas de login apenas quando desejavam, o que mantinha o aplicativo com aparência inofensiva durante as checagens iniciais.

Em outro, o código legítimo de carteiras digitais era modificado para interceptar as informações sigilosas antes que o próprio aplicativo fizesse a criptografia local no computador.

Houve ainda variantes programadas para monitorar a área de transferência do computador e capturar senhas e códigos copiados pelos usuários no dia a dia.