Phantom

Jupiter

Avalanche

Злоумышленники скопировали названия, иконки и рекламные тексты настоящих кошельков, поэтому люди, искавшие проверенный кошелек в магазине, могли&nbsp;по ошибке&nbsp;установить поддельное приложение. Специалисты Socket’s Threat Research выяснили, что расширения передавали украденные данные на поддомены одного управляющего сервера — bonto[.]io.
В названии поддельного расширения Phantom использовались визуально похожие символы, благодаря чему оно отображалось как настоящее. Злоумышленники копировали оригинальную иконку Phantom с изображением призрака и назвали расширение Official Phantom Wallet (Firefox Update). Поддельное приложение Jupiter мошенники позиционировали как продукт компании Jupiter Exchange, а вредоносное расширение, имитирующее Bitget, использовало название TabFlow Pro, однако пользователям показывался брендинг Bitget.&nbsp;
Вредоносная программа, имитирующая Phantom, отслеживала ввод мнемонических фраз, состоящих из 12, 15, 18 или 24 слов, а также приватных ключей для сетей Эфириума и Solana. Программа считывала содержимое текстовых полей и вставку текста в буфер обмена. Украденные данные отправлялись на сервер злоумышленника в формате JSON.&nbsp;Подделки, имитирующие Jupiter и Bitget, содержали встроенный механизм кражи данных, который напрямую отправлял мнемонические фразы на домены jupiter[.]bonto[.]io или bitget[.]bonto[.]io.
Поддельное расширение Jupiter также запрашивало доступ к Trezor Connect. В поддельный пакет Phantom был включен собственный бэкенд-дрейнер — файл Node.js server.js. Он сохранял украденные секретные данные в локальные файлы, отправлял их в телеграм-бот, а затем инициировал перевод активов на заранее подготовленные адреса в сетях Биткоина, Эфириума, BSC, Polygon, Arbitrum, Optimism, Base, Avalanche и Solana.
Мошенники искусственно завышали репутацию своих продуктов, рассказали аналитики Socket’s Threat Research. Всего за пару дней количество отзывов о поддельном приложении Phantom выросло с 275 до 546, а рейтинг поднялся с 2,9 до 3,9. Количество жертв и суммы возможных потерь не уточняются. Все три расширения уже удалены из Firefox.&nbsp;
Это не первый случай, когда эксперты Socket выявляют подобные схемы. Недавно они <a href="https://bits.media/v-mozilla-firefox-nashli-16-rasshireniy-dlya-krazhi-sid-fraz/" rel="noopener noreferrer nofollow">обнаружили</a> 16 вредоносных расширений для Firefox, которые копировали интерфейсы кошельков площадок Rabby и OKX. Расширения маскировались под полезные прогораммы: порталы кошельков, десктопные утилиты и браузерные инструменты.

В Mozilla Firefox нашли поддельные расширения трех криптокошельков

Bits.media

Other articles published on Oct 28, 2026

Join our free newsletter for daily crypto updates!