Utenti Firefox presi di mira da estensioni di portafoglio dannose

I ricercatori dell'azienda di sicurezza Koi hanno scoperto una campagna in corso che diffonde estensioni dannose per i wallet su Firefox. Le app dannose falsificano i wallet più utilizzati, rubando frasi private e lasciando gli utenti vulnerabili al rischio di essere svuotati.

Una campagna in corso sta diffondendo estensioni dannose, falsificando alcuni dei portafogli crittografici più comuni su Firefox. Koi Security ha scoperto che alcune app sono state rimosse, mentre altre erano ancora attive, spacciandosi per portafogli legittimi. 

Il team responsabile dell'attacco SlowMist ha inoltre invitato gli utenti a prestare attenzione, poiché l'attacco è ancora attivo. Le app false si stanno diffondendo attraverso l'app store ufficiale di Firefox, rendendole potenzialmente più fuorvianti e pericolose.

🚨Avviso SlowMist TI🚨

una massiccia campagna malevola che coinvolge decine di false di #Firefox progettate per rubare ledentÈ in corso portafogli come MetaMask, Coinbase Wallet, Trust Wallet, Phantom, OKX,... pic.twitter.com/IIfE5ifxJi

— SlowMist (@SlowMist_Team) 3 luglio 2025

L'attacco è relativamente semplice, ma prende di mira la tipologia di utente più semplice, quella che cerca un accesso occasionale alle criptovalute. Utilizzare un'app compromessa o inserire frasi private in una di esse può comportare perdite significative. Gli utenti stanno già segnalando perdite derivanti dalle app false. 

Gli attacchi informatici e gli exploit hanno registrato un'accelerazione nella prima metà del 2025, con l'aumento del valore delle criptovalute. Le minacce sono arrivate anche da hacker nordcoreani che si sono infiltrati nei progetti, con centinaia di potenziali vittime di codice dannoso. 

Le estensioni false di Firefox prendono di mira i portafogli più utilizzati

Koi ha intercettato app false per alcune delle estensioni wallet più diffuse, tra cui Coinbase, MetaMask, Trust Wallet, Phantom, Exodus, OKX, Keplr, MyMonero, Bitget, Leap, Ethereum Wallet e Filfox. 

I ricercatori hanno scoperto oltre 40 app che si spacciavano per wallet, e ne stanno comparendo di nuove. Alcuni dei wallet falsi sono ancora attivi su link non ufficiali. Secondo i ricercatori, le app false hanno iniziato a diffondersi intorno ad aprile 2025. 

Le estensionitrace inviano estensioni del portafoglio, raggiungendo un server controllato dall'aggressore. Le app trasmettono anche l'indirizzo IP dell'utente a scopo trace ulteriori attacchi. 

Gli aggressori hanno clonato il codice open source di portafogli legittimi

L'attacco era relativamente semplice, spesso utilizzando il codice legittimo del portafoglio per progetti open source come MetaMask. Le app false iniettavano quindi il codice dannoso per consentire al portafoglio di rubare dati edent. 

Le app di wallet falsi erano attive sugli app store, utilizzando gli stessi loghi e lo stesso stile del wallet originale. In precedenza, i wallet falsi avevano preso di mira specifici progetti di nicchia, ma questa volta l'aggressore ha falsificato wallet multi-asset, ampiamente utilizzati per DeFi, trading, NFT e altre attività on-chain. 

L'analisi del codice ha concluso che l'attacco ha avuto origine molto probabilmente dalla Russia, poiché in alcune app sono stati rilevati commenti al codice in lingua russa. Anche i metadati di un file su uno dei server di comando e controllo indicano un aggressore russo.

Koi consiglia agli utenti di installare un filtro per la lista consentita ed evitare di scaricare app senza verifica. Alcune app potrebbero non presentare problemi, ma in seguito aggiornarsi e modificare il loro comportamento. I ricercatori di sicurezza sconsigliano inoltre di cercare direttamente le app, poiché i risultati potrebbero indicare portafogli falsi con recensioni a cinque stelle deliberatamente gonfiate. L'approccio migliore è utilizzare la pagina web ufficiale del portafoglio o i social media. 

Agli utenti è stato anche consigliato di essere scettici quando vedono un'app con troppe recensioni a cinque stelle, inserite artificialmente per farla sembrare affermata e legittima.