NIEUWS

IN HET KORT: Onderzoekers van beveiligingsbedrijf Socket hebben drie kwaadaardige extensies ontdekt in de officiële Firefox Add-ons-winkel. De browserextensies deden zich voor als bekende crypto-wallets—Phantom, Jupiter en Bitget—en hadden als doel herstelzinnen (seed phrases) en privésleutels van gebruikers te stelen. Inmiddels heeft Mozilla de nep-extensies uit de store verwijderd.

Misleiding via visuele gelijkenis

De aanvallers maakten gebruik van Unicode-homoglyfen. Dit zijn tekens uit andere alfakarakters die visueel vrijwel identiek zijn aan standaard Latijnse letters, waardoor de namen en merknamen niet van echt te onderscheiden waren in de zoekresultaten. Gebruikers die dachten de officiële browserextensie te installeren, haalden in werkelijkheid een kwaadaardige kloon binnen.

Sodra de extensie geactiveerd werd, onderschepten de extensies tekstinvoer, plakacties en specifieke patronen op het scherm. Zodra een gebruiker zijn geheime herstelzin of privésleutel invoerde, werd deze direct doorgestuurd naar een door de aanvallers beheerde server (bonto.io).

Slimme ontwijking van Mozilla-controle

De nep-versie van de Phantom-wallet bevatte bovendien een extra geavanceerde laag. Om het geautomatiseerde en handmatige controleproces van Mozilla te omzeilen, voegden de makers een speciale loader toe.

Tijdens het keuringsproces van de extensie retourneerde een ingebouwd script een inactieve configuratie, waardoor de extensie schadelijkheidscontroles kon doorstaan. Pas nadat het add-on door Mozilla goedgekeurd was, haalde het script dynamisch een tweede fase met aanvullende kwaadaardige code op van de externe server van de aanvallers.

Gevolgen en advies voor gebruikers

De diefstal van een herstelzin of privésleutel geeft aanvallers volledige en onomkeerbare controle over een cryptowallet. Gebruikers die een van deze specifieke extensies hebben geïnstalleerd en hun gegevens hebben ingevuld, moeten er rekening mee houden dat hun wallet definitief gecompromitteerd is. Het enkel verwijderen van de extensie volstaat in dat geval niet; het tegoed dient direct te worden overgeheveld naar een geheel nieuwe wallet die op een schoon apparaat is aangemaakt.

Beveiligingsexperts adviseren om extensies voor cryptowallets nooit rechtstreeks te zoeken via de zoekbalk van de browsermarktplaats, maar uitsluitend te installeren via de directe, geverifieerde links op de officiële website van de wallet-provider.