Extensión maliciosa de Chrome 'Cripto Copilot' atrapada inyectando tarifas ocultas en intercambios de Solana

Fuente: CoinEdition Título original: La maliciosa extensión de Chrome 'Crypto Copilot' atrapada inyectando tarifas ocultas en intercambios de Solana Enlace original: https://coinedition.com/malicious-chrome-extension-crypto-copilot-caught-injecting-hidden-fees-into-solana-swaps/

El Hackeo, Trampa y Solución

• El Hack: Una extensión de Chrome llamada “Crypto Copilot” añade secretamente una transferencia de tarifa a los intercambios de los usuarios.
• El truco: Oculta una instrucción SystemProgram.transfer dentro de transacciones legítimas de Raydium.
• La Solución: Los usuarios deben verificar las instrucciones de transacción individuales en la vista previa de su billetera antes de firmar.

Una extensión de navegador maliciosa que se presenta como una herramienta de trading de Solana ha sido atrapada robando fondos de los usuarios al modificar silenciosamente las cargas de transacción.

Los investigadores de seguridad identificaron la dañina extensión de Chrome que roba secretamente pequeñas cantidades de SOL a los usuarios de Solana durante los intercambios. La extensión, llamada Crypto Copilot, parece una herramienta de trading normal pero agrega silenciosamente una transferencia adicional a cada operación.

Cómo funciona la extensión falsa

Los equipos de investigación de amenazas encontraron que Crypto Copilot ha estado disponible en la Chrome Web Store desde junio de 2024. Se anuncia como una herramienta que permite a las personas comerciar tokens de Solana directamente desde su feed de X. La extensión muestra los precios de los tokens, se conecta a billeteras populares y parece completamente segura en la superficie.

Sin embargo, cuando un usuario realiza un intercambio, la extensión construye la instrucción de intercambio normal de Raydium y luego añade secretamente una segunda instrucción. La instrucción adicional envía SOL a una billetera controlada por el atacante sin informar al usuario. La cantidad mínima tomada es de 0.0013 SOL, o el 0.05 por ciento del tamaño del intercambio si la operación es lo suficientemente grande.

Las billeteras generalmente muestran solo el resumen principal de una transacción. La mayoría de los usuarios no expandirán la lista completa de instrucciones, por lo que no se darán cuenta de que se están firmando dos acciones separadas a la vez.

Se Ve Legítimo por Fuera; Sospechoso por Dentro

Crypto Copilot se esfuerza por parecer un producto real y útil. Detecta nombres de tokens en X, muestra datos de DexScreener y soporta billeteras conocidas como Phantom y Solflare. También solo solicita permisos comunes de billetera.

Pero el backend revela la verdad. La extensión envía datos a un dominio que no tiene un sitio web real y solo muestra una página en blanco. Su sitio web oficial está aparcado y no alberga ningún producto funcional. Incluso el dominio del backend tiene un error de ortografía en su nombre. Estos detalles muestran que los creadores no planearon construir un servicio de trading real.

El código también está muy oculto y es difícil de leer. Partes clave, incluida la dirección de la billetera del atacante, están enterradas dentro de scripts largos y confusos.

Las tarifas ocultas se acumulan con el tiempo

La extensión cobra a los usuarios de dos maneras. Para intercambios de menos de 2.6 SOL, toma un mínimo de 0.0013 SOL. Para operaciones por encima de esa cantidad, toma el 0.05 por ciento del intercambio. Por ejemplo, una operación de 100 SOL enviaría secretamente 0.05 SOL al atacante.

Hasta ahora, el atacante no ha recolectado mucho ($6.86), lo que muestra que la extensión aún no se ha difundido ampliamente. Pero el sistema está diseñado para escalar, lo que significa que los comerciantes más grandes o frecuentes podrían perder cantidades significativas sin saberlo.

Advertencia para los usuarios de Solana

Los investigadores dicen que esta extensión nunca estuvo destinada a operar como un producto real. Solo existe para parecer confiable mientras cobra comisiones en segundo plano. Se aconseja a los usuarios que eviten extensiones de navegador desconocidas, especialmente aquellas que piden acceso a la billetera o prometen comercio con un solo clic.

“Instale extensiones de billetera solo desde páginas de editores verificados, no de los resultados de búsqueda de Chrome Web Store,” dijo la investigación.