Les utilisateurs de Firefox ciblés par des extensions de portefeuille malveillantes

Les chercheurs de l'entreprise de sécurité Koi ont découvert une campagne en cours diffusant des extensions de portefeuille malveillantes sur Firefox. Les applications malveillantes imitent les portefeuilles les plus largement utilisés, volant les phrases privées et laissant les utilisateurs vulnérables au vidage de leurs fonds.

Une campagne en cours diffuse des extensions malveillantes, impersonnant certains des portefeuilles crypto les plus courants sur Firefox. Koi security a découvert certaines des applications ont été supprimées, tandis que d'autres étaient encore actives, se faisant passer pour des portefeuilles légitimes. 

L'équipe d'attaque SlowMist a également mis en garde les utilisateurs d'être vigilants, car l'attaque est toujours active. Les fausses applications se propagent via le magasin d'applications officiel de Firefox, les rendant potentiellement plus trompeuses et dangereuses.

🚨Alerte TI SlowMist🚨

Une campagne malveillante massive impliquant des dizaines de fausses extensions #Firefox conçues pour voler les identifiants des portefeuilles de cryptomonnaies est en cours. Plus de 40 fausses extensions impersonnant des #portefeuilles de confiance comme MetaMask, Coinbase Wallet, Trust Wallet, Phantom, OKX,… pic.twitter.com/IIfE5ifxJi

— SlowMist (@SlowMist_Team) Juillet 3, 2025

L'attaque est relativement simple, mais cible le type d'utilisateur le plus vulnérable, celui qui cherche un accès occasionnel aux cryptomonnaies. L'utilisation d'une application compromise ou la saisie de phrases secrètes dans une telle application peut entraîner des pertes importantes. Les utilisateurs signalent déjà pertes provenant des fausses applications. 

Piratages et exploitations accéléré au premier semestre 2025, alors que la valeur des cryptomonnaies augmentait. Les menaces provenaient également de hackers RPDC l'infiltration de projets, des centaines pouvant être affectées par du code malveillant. 

Les fausses extensions Firefox ciblent les portefeuilles les plus largement utilisés

Koi a intercepté des fausses applications pour certaines des extensions de portefeuille les plus utilisées, y compris Coinbase, MetaMask, Trust Wallet, Phantom, Exodus, OKX, Keplr, MyMonero, Bitget, Leap, Ethereum Wallet et Filfox. 

Les chercheurs ont découvert plus de 40 applications se faisant passer pour des portefeuilles, avec de nouvelles qui apparaissent. Certaines des fausses portefeuilles sont toujours actives sur des liens non officiels. Selon les chercheurs, les fausses applications ont commencé à se propager vers avril 2025. 

Les extensions extraient et envoient les extensions de portefeuille vers un serveur contrôlé par l'attaquant. Les applications transmettent également l'adresse IP de l'utilisateur pour le suivi et un ciblage supplémentaire. 

Les attaquants ont cloné le code open-source des portefeuilles légitimes

L'attaque était relativement simple, utilisant souvent le code légitime des portefeuilles pour des projets open-source comme MetaMask. Les fausses applications injectaient ensuite le code malveillant pour permettre au portefeuille de voler des données et des identifiants. 

Les fausses applications de portefeuille étaient actives sur les magasins d'applications, utilisant les mêmes logos et styles que le portefeuille original. Auparavant, les portefeuilles falsifiés ciblaient des projets de niche spécifiques, mais cette fois, l'attaquant a usurpé l'identité de portefeuilles multi-actifs, largement utilisés pour la DeFi, le trading, les NFT et d'autres tâches on-chain. 

L'analyse du code a conclu que l'attaque provenait très probablement de Russie, car des commentaires de code en russe ont été découverts dans certaines des applications. Les métadonnées d'un fichier sur l'un des serveurs de commande et de contrôle pointent également vers un attaquant russe.

Koi conseille aux utilisateurs d'installer un filtre de liste blanche et d'éviter de télécharger des applications sans les avoir vérifiées. Certaines applications peuvent ne pas présenter de problèmes immédiatement, mais se mettre à jour plus tard et changer de comportement. Les chercheurs en sécurité déconseillent également de rechercher les applications directement, car les résultats peuvent pointer vers de fausses portefeuilles avec des avis cinq étoiles délibérément gonflés. La meilleure approche est d'utiliser la page web officielle du portefeuille ou ses réseaux sociaux. 

Les utilisateurs ont également été conseillés d'être sceptiques lorsqu'ils voient une application avec trop d'avis cinq étoiles, qui ont été placés artificiellement pour donner à l'application une apparence établie et légitime.