Detectan tres extensiones falsas de monederos en Firefox que pueden robar criptomonedas

Investigadores de seguridad han descubierto tres extensiones maliciosas para navegadores que se hacían pasar por conocidas carteras de criptomonedas. Estaban disponibles en la tienda oficial de extensiones de Firefox y se habían diseñado para robar las credenciales de acceso de los usuarios. Quienes hayan instalado alguna de estas carteras falsas corren el riesgo de perder sus criptomonedas.

Carteras falsas suplantan a Phantom, Jupiter y Bitget

La empresa de seguridad Socket anunció el martes 27 de octubre que había detectado tres extensiones sospechosas que se hacían pasar por las populares carteras de criptomonedas Phantom, Jupiter y Bitget.

Los delincuentes utilizaban nombres, logotipos y descripciones prácticamente idénticos a los originales. Así, los usuarios que buscaban una cartera fiable en Firefox podían instalar fácilmente una versión falsa.

Las extensiones estaban diseñadas para interceptar frases de recuperación y claves privadas. Con estos datos, los delincuentes pueden tomar el control total de una cartera de criptomonedas y sustraer los fondos.

Según Socket, los datos robados se enviaban a servidores vinculados al dominio bonto[.]io.

La versión falsa de Phantom era especialmente sofisticada. Una vez aprobada por Firefox, podía descargar software malicioso adicional, lo que permitía a los atacantes modificar el funcionamiento de la extensión.

Los delincuentes también intentaron ganarse la confianza de los usuarios con reseñas engañosas. El número de reseñas de la versión falsa de Phantom pasó de 275 a 546 en apenas dos días.

Las tres extensiones ya han sido retiradas de la tienda de Firefox.

¿Qué deben hacer los usuarios de criptomonedas?

Según Socket, hay indicios de que los atacantes también pretendían suplantar a Coinbase Wallet y Exodus. Se detectaron servidores sospechosos relacionados con estas carteras, aunque no se encontraron extensiones de Firefox asociadas.

A principios de este mes, la empresa de seguridad ya había descubierto otras dieciséis extensiones maliciosas que suplantaban, entre otras, a Rabby y OKX Wallet.

Socket recomienda instalar extensiones para navegadores únicamente a través de la web oficial del proveedor de la cartera.

Quienes hayan introducido su frase de recuperación o su clave privada en una extensión sospechosa deben crear de inmediato una nueva cartera en un dispositivo libre de software malicioso y transferir sus criptomonedas. No basta con eliminar la extensión: una vez que los delincuentes obtienen la frase de recuperación, pueden seguir accediendo a la cartera incluso sin el software malicioso.