Il browser era il ladro del wallet: una falsa estensione Notes e l'attacco di swap silenzioso

Un trasferimento di criptovalute può fallire in due modi molto diversi: la rete può essere compromessa oppure l'utente può essere ingannato in silenzio all'ultimo passo. Questo caso rientra nel secondo modello. È stato segnalato che un'estensione del browser presentata come un innocuo strumento per appunti sostituiva gli indirizzi dei wallet di criptovalute durante le transazioni nei browser basati su Chromium, trasformando il browser nella superficie d'attacco.

Fatti rapidi

• La campagna è descritta come un crypto clipper: sostituisce gli indirizzi dei wallet prima del completamento di un trasferimento.
• L'estensione era camuffata come "Google Notes", un nome apparentemente pensato per sembrare utile e innocuo.
• I browser basati su Chromium citati nel caso includono Google Chrome, Microsoft Edge, Brave e Opera.
• L'entità completa, il percorso di distribuzione e l'attribuzione dell'attore non sono stati stabiliti nel materiale disponibile.
• Il rischio si colloca a livello del browser, dove il contenuto della pagina può essere alterato prima che l'utente invii i fondi.

Perché è importante

Le estensioni del browser sono potenti perché si collocano molto vicino alla pagina stessa. In Chromium, le estensioni possono richiedere autorizzazioni e usare script di contenuto che vengono eseguiti nelle pagine web, il che significa che un componente aggiuntivo malevolo può essere in grado di leggere o modificare ciò che un utente vede sullo schermo. Questo è l'apertura tecnica di cui ha bisogno un crypto clipper: non deve rompere la crittografia o rubare una seed phrase se può cambiare l'indirizzo di destinazione subito prima dell'invio.

In termini pratici, questo rende il browser un livello di intercettazione dei pagamenti. Un trasferimento può sembrare normale nell'interfaccia, mentre i dati della transazione inviati sono già stati alterati. Dal punto di vista difensivo, è proprio per questo che l'igiene delle estensioni è così importante nei flussi di lavoro crypto. Il browser può diventare l'ultimo checkpoint affidabile, oppure l'ultimo punto in cui la fiducia viene abusata.

L'etichetta falsa "Google Notes" aggiunge un secondo livello di rischio: l'ingegneria sociale. Un nome in stile produttività abbassa i sospetti e può aiutare un'estensione malevola a confondersi in un elenco affollato di componenti aggiuntivi. Questo non dimostra come sia stata distribuita, ma mostra il tipo di travestimento che gli aggressori preferiscono quando vogliono che gli utenti installino qualcosa volontariamente.

Resta una cautela importante: le informazioni disponibili non stabiliscono completamente la scala della campagna, il suo percorso di installazione o se lo stesso modello di estensione sia stato usato in modo identico su ciascun browser preso di mira. Il caso supporta un'analisi del rischio, non una tesi ampia su una compromissione universale.

Lezione difensiva

Per le organizzazioni e per i singoli utenti, la lezione è semplice ma scomoda. Le attività crypto non dovrebbero condividere lo stesso profilo del browser della navigazione casuale, soprattutto quando sono installate estensioni. Restringete i permessi delle estensioni, rimuovete tutto ciò che non è necessario e considerate qualsiasi componente aggiuntivo che richieda un ampio accesso ai siti come un segnale di allarme. Per trasferimenti di valore più elevato, un profilo del browser separato e con poche estensioni può ridurre l'esposizione al codice che modifica le pagine.

Altrettanto importante, gli utenti dovrebbero verificare gli indirizzi dei destinatari attraverso più di una vista prima di inviare fondi. Se il browser stesso è stato manomesso, la pagina visibile potrebbe non essere la fonte affidabile della verità.

Conclusione

Questo episodio ricorda che il cybercrime spesso non ha bisogno di un'intrusione spettacolare. A volte ha solo bisogno di un'interfaccia fidata e di una sostituzione non notata. Nell'era del browser, la battaglia per il denaro digitale si combatte sempre più nel punto in cui un utente clicca "invia".

TECHCROOK

Hardware cryptocurrency wallet: Un wallet hardware conserva le chiavi private su un dispositivo separato e consente di rivedere i dettagli della transazione prima della firma. Per chi sposta asset digitali, aggiunge un utile passaggio di verifica fisica al di fuori del browser.

Scheda Techcrook: Hardware cryptocurrency wallet

WIKICROOK

• Crypto clipper: Malware che sostituisce gli indirizzi dei wallet di criptovalute copiati o inseriti per deviare i pagamenti.
• Estensione del browser: Software aggiuntivo che introduce funzionalità in un browser e può accedere alle pagine web e ai dati dell'utente.
• Browser basato su Chromium: Un browser costruito sulla base di codice open source Chromium e del relativo ecosistema di estensioni.
• Script di contenuto: Codice di estensione che viene eseguito nel contesto di una pagina web e può leggere o modificare il contenuto della pagina.
• Autorizzazioni host: Permessi delle estensioni che definiscono quali siti web un componente aggiuntivo può accedere o modificare.