Firefox : trois faux portefeuilles crypto conçus pour voler vos fonds

Des chercheurs en cybersécurité ont découvert trois extensions de navigateur malveillantes qui usurpaient l’identité de portefeuilles de cryptomonnaies connus. Disponibles sur la boutique officielle d’extensions de Firefox, elles étaient conçues pour dérober les données d’accès des utilisateurs. Les personnes ayant installé l’un de ces faux portefeuilles risquent de se faire voler leurs cryptomonnaies.

De faux portefeuilles imitent Phantom, Jupiter et Bitget

La société de cybersécurité Socket a annoncé mardi 27 octobre avoir découvert trois extensions suspectes. Elles se faisaient passer pour les portefeuilles de cryptomonnaies populaires Phantom, Jupiter et Bitget.

Les cybercriminels utilisaient des noms, des logos et des descriptions presque identiques aux originaux. Les utilisateurs qui recherchaient un portefeuille fiable sur Firefox pouvaient ainsi facilement installer une version frauduleuse.

Ces extensions étaient conçues pour intercepter les phrases de récupération et les clés privées. Ces données permettent aux cybercriminels de prendre le contrôle total d’un portefeuille et d’en dérober les fonds.

Selon Socket, les données volées étaient transmises à des serveurs liés au domaine bonto[.]io.

La fausse version de Phantom était particulièrement sophistiquée. Une fois approuvée par Firefox, elle pouvait télécharger des logiciels malveillants supplémentaires, permettant aux attaquants de modifier le fonctionnement de l’extension.

Les cybercriminels tentaient également d’inspirer confiance à l’aide de faux avis. Le nombre d’avis sur la fausse version de Phantom est passé de 275 à 546 en deux jours.

Les trois extensions ont depuis été retirées de la boutique Firefox.

Quelles précautions prendre pour protéger ses cryptomonnaies ?

Selon Socket, plusieurs indices laissent penser que les attaquants prévoyaient aussi d’imiter Coinbase Wallet et Exodus. Des serveurs suspects liés à ces portefeuilles ont été découverts, mais aucune extension Firefox correspondante n’a été identifiée.

Plus tôt ce mois-ci, la société de cybersécurité avait déjà découvert seize autres extensions malveillantes qui imitaient notamment Rabby et OKX Wallet.

Socket recommande aux utilisateurs de passer exclusivement par le site officiel du fournisseur du portefeuille pour installer une extension de navigateur.

Toute personne ayant saisi sa phrase de récupération ou sa clé privée dans une extension suspecte doit immédiatement créer un nouveau portefeuille sur un appareil sain et y transférer ses cryptomonnaies. Supprimer l’extension ne suffit pas. Une fois la phrase de récupération dérobée, les cybercriminels peuvent conserver l’accès au portefeuille concerné, même sans le logiciel malveillant.