Tim Socket Threat Research melaporkan pada 27 Oktober bahwa tiga ekstensi di toko resmi Firefox Add-ons menyamar sebagai dompet kripto populer dan mencuri frasa pemulihan serta kunci privat penggunanya. Ketiganya meniru Phantom, Jupiter, dan Bitget Wallet, dan sudah tidak tersedia di toko saat laporan terbit.
Cara ekstensi palsu ini bekerja
Penyerang memakai karakter Unicode yang mirip huruf biasa (homoglif) agar nama ekstensi tampak sama dengan aslinya. Tiap ekstensi berasal dari akun pengembang sekali pakai yang berbeda. Ekstensi yang menyamar sebagai Phantom (ID add-on 3092199, versi 25.6.0) memakai ikon dan teks pemasaran Phantom. Ia memuat kode tambahan dari server penyerang saat berjalan, sehingga isi pencurinya bisa diganti tanpa versi baru. Socket juga menemukan kode pengurasan aset yang mengarah ke alamat dompet milik penyerang.
Ekstensi penyamar Jupiter (ID 3092666, versi 1.19.2) mengambil frasa mnemonik dan kunci privat saat pengguna mengimpor dompet. Ekstensi penyamar Bitget (ID 3092059, versi 2.21.8) memakai nama internal “TabFlow Pro” tetapi tampil dengan merek Bitget Wallet di halaman toko. Semua data curian dikirim ke subdomain di bawah bonto[.]io.
Menurut Socket, jumlah pengguna harian tiap listing hanya satu sampai tiga orang. Namun skor ulasan ekstensi Phantom palsu naik dari 2,9 menjadi 3,9 dan jumlah ulasannya dari 275 menjadi 546 dalam sekitar dua hari, yang oleh Socket dinilai sebagai manipulasi peringkat. Kerugian pengguna yang sebenarnya belum terverifikasi. Laporan GBHackers yang merangkum temuan ini mencatat hal yang sama.
Mengapa lolos dari peninjauan toko
Socket menyebut kode pencuri sudah ada di paket yang ditinjau Mozilla. Laporan tidak menyebut siapa yang akhirnya mencabut ketiga listing itu. Pola ini mirip dengan kampanye aplikasi AI palsu di GitHub yang kami liput sebelumnya: penyerang memanfaatkan kepercayaan pada nama yang sudah dikenal.
Langkah yang perlu diambil pembaca
Pengguna dompet kripto sebaiknya memasang ekstensi hanya lewat tautan di situs resmi vendor, bukan lewat pencarian di toko ekstensi. Jangan memasukkan frasa pemulihan ke halaman mana pun yang dibuka dari listing toko. Jika Anda pernah memasukkan frasa pemulihan atau kunci privat ke salah satu ekstensi di atas, pindahkan dana ke dompet baru yang dibuat di perangkat bersih, dan anggap dompet lama sudah bocor.
Tim keamanan di perusahaan dapat memblokir bonto[.]io beserta subdomainnya di lapisan jaringan dan memeriksa log DNS untuk subdomain bermerek di bawahnya. Pengembang disarankan menyematkan ID ekstensi yang dipakai timnya dan mencurigai ekstensi yang meminta akses ke semua situs bersama izin tabs atau scripting. Daftar indikator lengkap ada di laporan Socket.
Sumber: Socket Threat Research dan GBHackers. Gambar: Socket.