مستخدمو Firefox يستهدفون بواسطة امتدادات المحافظ الخبيثة

اكتشف باحثو شركة الأمان Koi حملة مستمرة تنشر امتدادات محافظ خبيثة على Firefox. تحاكي التطبيقات الخبيثة المحافظ الأكثر استخداماً على نطاق واسع، وتسرق العبارات الخاصة وتترك المستخدمين عرضة للإفراغ.

حملة مستمرة تنشر امتدادات خبيثة، تحاكي بعض المحافظ المشفرة الأكثر شيوعاً على Firefox. شركة الأمان Koi Aave V⟦N1⟧ تمت إزالة بعض التطبيقات، بينما لا تزال أخرى نشطة، متخفية كمحافظ شرعية. 

حذرت فريق الهجوم SlowMist أيضاً المستخدمين من اليقظة، حيث لا يزال الهجوم نشطاً. تنتشر التطبيقات المزيفة من خلال متجر تطبيقات Firefox الرسمي، مما يجعلها أكثر تضليلاً وخطورة محتملة.

تعرضت منصة BigOne، وهي منصة بحجم تداول يبلغ 728 مليون دولار، لهجوم على سلسلة التوريد. سجل فريق SlowMix خسائر بقيمة 27 مليون دولار حتى الآن. سحب المهاجم السيولة من أربع سلاسل – Ethereum وSolana وTRON وBitcoin.

توجد حملة خبيثة ضخمة تتضمن عشرات الامتدادات المزيفة لـ #Firefox مصممة لسرقة بيانات اعتماد محافظ العملات المشفرة. أكثر من 40 امتداداً مزيفاً يتنكر كـ #محافظ موثوقة مثل MetaMask و Coinbase Wallet و Trust Wallet و Phantom و OKX،... pic.twitter.com/IIfE5ifxJi

— SlowMist (@SlowMist_Team) يوليو 3، 2025

الهجوم بسيط نسبياً، لكنه يستهدف أسهل نوع من المستخدمين، الذين يبحثون عن وصول عادي إلى العملات المشفرة. استخدام تطبيق مخترق، أو إدخال عبارات خاصة في واحد قد يؤدي إلى خسائر كبيرة. يبلغ المستخدمون بالفعل خسائرها من التطبيقات المزيفة. 

الاختراقات والاستغلال بتسريع في النصف الأول من عام 2025، مع زيادة قيمة العملات المشفرة. جاءت التهديدات أيضاً من مهاجمين من كوريا الشمالية اختراق المشاريع، حيث قد يتأثر المئات برمجيات خبيثة. 

امتدادات Firefox المزيفة تستهدف المحافظ الأكثر استخداماً على نطاق واسع

اعتراض Koi للتطبيقات المزيفة لبعض امتدادات المحافظ الأكثر استخداماً على نطاق واسع، بما في ذلك Coinbase و MetaMask و Trust Wallet و Phantom و Exodus و OKX و Keplr و MyMonero و Bitget و Leap و Ethereum Wallet و Filfox. 

اكتشف الباحثون أكثر من 40 تطبيقاً يتنكر كمحافظ، مع ظهور تطبيقات جديدة. لا تزال بعض المحافظ المزيفة نشطة على روابط غير رسمية. وفقاً للباحثين، بدأت التطبيقات المزيفة في الانتشار حول أبريل 2025. 

تستخرج الامتدادات وتُرسل امتدادات المحفظة، وصولاً إلى خادم يسيطر عليه المهاجم. تنقل التطبيقات أيضاً عنوان IP الخاص بالمستخدم للتتبع والاستهداف الإضافي. 

قام المهاجمون بنسخ الكود المصدري للمحافظ الشرعية

كان الهجوم بسيطاً نسبياً، وغالباً ما يستخدم كود المحفظة الشرعية لمشاريع مفتوحة المصدر مثل MetaMask. ثم حقن التطبيقات المزيفة الكود الخبيث للسماح للمحفظة بسرقة البيانات واعتمادات المستخدم. 

كانت تطبيقات المحافظ المزيفة نشطة في متاجر التطبيقات، باستخدام نفس الشعارات والأسلوب مثل المحفظة الأصلية. في السابق، استهدفت المحافظ المقلدة مشاريع متخصصة محددة، ولكن هذه المرة، قام المهاجم بمحاكاة محافظ متعددة الأصول، المستخدمة على نطاق واسع لـ DeFi والتداول و NFT والمهام الأخرى على السلسلة. 

خلص تحليل الكود إلى أن الهجوم نشأ على الأرجح من روسيا، حيث تم العثور على تعليقات برمجية باللغة الروسية في بعض التطبيقات. تشير البيانات الوصفية لملف على أحد خوادم الأوامر والتحكم أيضاً إلى مهاجم روسي.

توصي Koi المستخدمين بتثبيت مرشح قائمة السماح وتجنب تنزيل التطبيقات دون تدقيق. قد لا تظهر بعض التطبيقات مشاكل، لكنها تقوم لاحقاً بتحديث وتغيير سلوكها. ينصح باحثو الأمان أيضاً ضد البحث عن التطبيقات مباشرة، حيث قد تشير النتائج إلى محافظ مزيفة مع تقييمات نجوم خماسية متضخمة عمداً. أفضل نهج هو استخدام الصفحة الويب الرسمية للمحفظة أو وسائل التواصل الاجتماعي. 

كما نصح المستخدمون بالتشكك عند رؤية تطبيق يحتوي على عدد كبير من التقييمات بخمس نجوم، والتي تم وضعها بشكل مصطنع لجعل التطبيق يبدو راسخًا وموثوقًا.