Google Chrome usuwa 49 rozszerzeń przeglądarki. Kradły kryptowaluty

Jeśli skusiłeś się na rozszerzenie przeglądarki „ułatwiające” obsługę portfela sprzętowego do kryptowalut, lepiej sprawdź swoje konto. W wielu przypadkach cyfrowe pieniądze trafiły bowiem do hakerów, sprytnie przejmujących tysiące komputerów, których użytkownicy zdecydowali się pobrać rozszerzenia do przeglądarki Chrome.

Niezabezpieczone kryptowaluty

Sprawę wyjaśnił Harry Denley, dyrektor ds. bezpieczeństwa portfela kryptowalut MyCrypto, który opublikował informację o usunięciu 49 rozszerzeń ze sklepu Chrome. Były one bowiem zaangażowane przede wszystkim do wyłudzania informacji na temat kryptowalut.  

Oficjalnie rozszerzenia miały pomagać właścicielom portfeli sprzętowych produkowanych przez wiodące na rynku kryptowalut firmy: Ledger, Trezor i KeepKey, ale także użytkownikom portfeli programowych: Jaxx, MyEtherWallet, Exodus, Metamask i Electrum.

W rzeczywistości oprogramowanie dbało o to, by ich użytkownicy wprowadzali dane zabezpieczające w postaci kluczy prywatnych, co pozwalało złodziejom przejąć kontrolę nad ich portfelami. 

Rabusie działali bardzo sprytnie, bo nie ogałacali kont od razu. Odczekiwali średnio dobę, w czasie której nic nie podejrzewające osoby spokojnie sprawdzały poprawność działania portfela sprzętowego po aktualizacji. Gdy już wydawało się im, że wszystko jest w porządku, kryptowaluty były kierowane do innych portfeli, zamieniane na waluty fiat, wypłacane i ślad po nich się urywał.

Jak hakerzy namawiali do rozszerzeń

Dlaczego jednak tak wiele osób dało się nabrać na fałszywe rozszerzenie przeglądarki? Opinie były sfałszowane i choć nie zawierały zbyt wiele szczegółów, to gwiazdki były fałszywie przyznawane, by spowodować wrażenie, że aplikacja jest często pobierana i bardzo wysoko oceniana. 

Gdyby ktoś zagłębił się w szczegóły, spostrzegłby na pewno, że opinie się powtarzały (były takie same przy różnych wtyczkach do rozszerzeń), a część z nich nie miała żadnego sensu. Choćby opis BTC we wtyczce MyEtherWallet, która w rzeczywistości wcale nie obsługuje Bitcoina. 

Portfele kryptowalut a wtyczki w platformie

Do pobrania były całe aplikacje, ale większość to tzw. wtyczki do portfeli kryptowalutowych. Do phisingu używano zarówno domen z dłuższą historią, jak i stworzonych od nowa tylko w celu kradzieży danych. Całość opierała się na 14 serwerach.

Największą aktywnością hakerzy wykazali się w marcu i kwietniu 2020 roku, kiedy stworzyli kilkadziesiąt nowych rozszerzeń. Wszystkie zostały opublikowane w sklepie Chrome. Zostały usunięte w ciągu 24 godzin.