Gevaarlijke nepwallets ontdekt in Firefox: crypto kan worden gestolen

Beveiligingsonderzoekers hebben drie kwaadaardige browserextensies ontdekt die zich voordoen als bekende cryptowallets. De programma’s stonden in de officiële uitbreidingswinkel van Firefox en waren ontworpen om toegangscodes van gebruikers te stelen. Wie zo’n nepwallet installeerde, loopt het risico zijn cryptomunten kwijt te raken.

Nepwallets doen zich voor als Phantom, Jupiter en Bitget

Beveiligingsbedrijf Socket maakte dinsdag 27 oktober bekend dat het drie verdachte extensies had gevonden. Ze deden zich voor als de populaire cryptowallets Phantom, Jupiter en Bitget.

De criminelen gebruikten vrijwel identieke namen, logo’s en beschrijvingen. Daardoor konden gebruikers die via Firefox naar een betrouwbare wallet zochten, gemakkelijk een verkeerde versie installeren.

De extensies waren ontworpen om herstelzinnen en privésleutels te onderscheppen. Met deze gegevens kunnen criminelen volledige controle krijgen over een cryptowallet en het aanwezige geld wegsluizen.

Volgens Socket werden de gestolen gegevens doorgestuurd naar servers die verbonden zijn met het domein bonto[.]io.

Vooral de nepversie van Phantom was geavanceerd. Deze kon na goedkeuring door Firefox aanvullende kwaadaardige software ophalen. Daardoor konden de aanvallers het gedrag van de extensie aanpassen.

De criminelen probeerden bovendien vertrouwen te winnen met misleidende beoordelingen. Het aantal recensies van de nepversie van Phantom steeg binnen twee dagen van 275 naar 546.

Alle drie de extensies zijn inmiddels verwijderd uit de Firefox-winkel.

Wat moeten cryptogebruikers doen?

Volgens Socket zijn er aanwijzingen dat de aanvallers ook Coinbase Wallet en Exodus wilden nabootsen. Voor deze wallets werden verdachte servers ontdekt, maar geen bijbehorende Firefox-extensies.

Eerder deze maand ontdekte het beveiligingsbedrijf al zestien andere kwaadaardige extensies die onder meer Rabby en OKX Wallet imiteerden.

Socket adviseert gebruikers om browserextensies uitsluitend te installeren via de officiële website van de walletaanbieder.

Wie zijn herstelzin of privésleutel in een verdachte extensie heeft ingevoerd, moet direct een nieuwe wallet aanmaken op een schoon apparaat en zijn cryptomunten overzetten. Alleen de extensie verwijderen is niet voldoende. Zodra criminelen een herstelzin hebben buitgemaakt, kunnen zij ook zonder de kwaadaardige software toegang houden tot de bijbehorende wallet.