Utenti Firefox presi di mira da estensioni portafoglio malevole

I ricercatori della società di sicurezza Koi hanno scoperto una campagna in corso che diffonde estensioni per portafogli malevole su Firefox. Le app malevole imitano i portafogli più utilizzati, rubando le frasi private e lasciando gli utenti vulnerabili al rischio di essere svuotati.

Una campagna in corso sta diffondendo estensioni malevole, imitando alcuni dei portafogli crittografici più comuni su Firefox. Koi Security scoperto alcune delle app sono state rimosse, mentre altre erano ancora attive, spacciandosi per portafogli legittimi. 

Il team di attacco SlowMist ha anche avvisato gli utenti di essere vigili, poiché l'attacco è ancora attivo. Le app false si stanno diffrendo attraverso lo store ufficiale delle app di Firefox, rendendole potenzialmente più ingannevoli e pericolose.

🚨Allerta SlowMist TI🚨

È in corso una massiccia campagna malevola che coinvolge dozzine di estensioni #Firefox false progettate per rubare le credenziali dei portafogli di criptovalute. Oltre 40 estensioni false che impersonano #portafogli affidabili come MetaMask, Coinbase Wallet, Trust Wallet, Phantom, OKX,… pic.twitter.com/IIfE5ifxJi

— SlowMist (@SlowMist_Team) Luglio 3, 2025

L'attacco è relativamente semplice, ma prende di mira il tipo di utente più facile, che cerca un accesso casuale alle criptovalute. L'uso di un'app compromessa o l'inserimento di frasi private in una di esse può portare a perdite significative. Gli utenti stanno già segnalando perdite dalle app false. 

Hackeraggi ed exploit accelerato nella prima metà del 2025, mentre le criptovalute aumentavano di valore. Le minacce provenivano anche da hacker della RPC infiltrazioni in progetti, con centinaia potenzialmente colpite da codice malevolo. 

Le estensioni false di Firefox prendono di mira i portafogli più utilizzati

Koi ha intercettato app false per alcuni dei portafogli estesi più utilizzati, tra cui Coinbase, MetaMask, Trust Wallet, Phantom, Exodus, OKX, Keplr, MyMonero, Bitget, Leap, Ethereum Wallet e Filfox. 

I ricercatori hanno scoperto oltre 40 app che si spacciano per portafogli, con nuove che appaiono continuamente. Alcuni dei portafogli falsi sono ancora attivi su link non ufficiali. Secondo i ricercatori, le app false hanno iniziato a diffondersi intorno ad aprile 2025. 

Le estrazioni estraggono e inviano le estensioni del portafoglio, raggiungendo un server controllato dall'attaccante. Le app trasmettono anche l'indirizzo IP dell'utente per il tracciamento e ulteriori mirature. 

Gli attaccanti hanno clonato il codice open-source dei portafogli legittimi

L'attacco era relativamente semplice, spesso utilizzando il codice del portafoglio legittimo per progetti open-source come MetaMask. Le app false iniettavano poi il codice malevolo per consentire al portafoglio di rubare dati e credenziali. 

Le app dei portafogli falsi erano attive sugli store di app, utilizzando gli stessi loghi e lo stesso stile del portafoglio originale. In precedenza, i portafogli falsi prendevano di mira progetti di nicchia specifici, ma questa volta l'attaccante ha imitato portafogli multi-asset, ampiamente utilizzati per DeFi, trading, NFT e altre attività on-chain. 

L'analisi del codice ha concluso che l'attacco è probabilmente originato dalla Russia, poiché sono stati trovati commenti in lingua russa nel codice di alcune delle app. I metadati di un file su uno dei server di comando e controllo puntano anche a un attaccante russo.

Koi consiglia agli utenti di installare un filtro di lista consentita ed evitare di scaricare app senza una verifica preventiva. Alcune delle app potrebbero non mostrare problemi, ma in seguito si aggiornano e cambiano comportamento. I ricercatori della sicurezza sconsigliano anche di cercare le app direttamente, poiché i risultati potrebbero puntare a portafogli falsi con recensioni a cinque stelle artificialmente gonfiate. L'approccio migliore è utilizzare la pagina web ufficiale del portafoglio o i social media. 

Gli utenti sono stati anche invitati a essere scettici quando vedono un'app con troppe recensioni a cinque stelle, che sono state posizionate artificialmente per far sembrare l'app consolidata e legittima.