bits.media
Злоумышленники скопировали названия, иконки и рекламные тексты настоящих кошельков, поэтому люди, искавшие проверенный кошелек в магазине, могли по ошибке установить поддельное приложение. Специалисты Socket’s Threat Research выяснили, что расширения передавали украденные данные на поддомены одного управляющего сервера — bonto[.]io.
В названии поддельного расширения Phantom использовались визуально похожие символы, благодаря чему оно отображалось как настоящее. Злоумышленники копировали оригинальную иконку Phantom с изображением призрака и назвали расширение Official Phantom Wallet (Firefox Update). Поддельное приложение Jupiter мошенники позиционировали как продукт компании Jupiter Exchange, а вредоносное расширение, имитирующее Bitget, использовало название TabFlow Pro, однако пользователям показывался брендинг Bitget.
Вредоносная программа, имитирующая Phantom, отслеживала ввод мнемонических фраз, состоящих из 12, 15, 18 или 24 слов, а также приватных ключей для сетей Эфириума и Solana. Программа считывала содержимое текстовых полей и вставку текста в буфер обмена. Украденные данные отправлялись на сервер злоумышленника в формате JSON. Подделки, имитирующие Jupiter и Bitget, содержали встроенный механизм кражи данных, который напрямую отправлял мнемонические фразы на домены jupiter[.]bonto[.]io или bitget[.]bonto[.]io.
