REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Socket analyse des extensions qui imitent Phantom, Jupiter et Bitget pour récupérer des phrases de récupération et clés privées. Le cas associe copie de marque, caractères visuellement proches et charge parfois récupérée après installation ; les fiches concernées ont été retirées à la publication.
Déroulement décrit par la source
- Les extensions utilisent des caractères Unicode ressemblants pour copier les noms des portefeuilles et acheminent les secrets vers des sous-domaines d’une même infrastructure.
- La fausse extension Phantom ajoute un chargeur qui récupère un second composant à distance et l’exécute dans les pages ouvertes.
- Les trois fiches étaient présentes dans Firefox Add-ons pendant l’analyse, puis ont été supprimées au moment de la publication du rapport.
Comprendre les mécanismes et les enseignements
- Une fiche de boutique et une signature ne prouvent pas qu’une extension appartient à la marque affichée. Le lien depuis le site officiel et l’identité de l’éditeur sont plus utiles que le nom, l’icône ou des avis qui peuvent imiter la réputation du produit.
- Une extension capable de lire les pages peut exposer des secrets sans modifier le portefeuille légitime. Le risque doit donc être évalué à l’échelle du navigateur et des informations qui y ont été saisies pendant la période d’installation.
Les vérifications défensives utiles
- Vérifier les extensions de portefeuille depuis les liens officiels des projets et comparer leur identifiant exact. Supprimer les installations non justifiées après collecte des éléments utiles ; sur les postes professionnels, limiter l’installation d’extensions aux besoins approuvés et aux permissions nécessaires.
- Si une phrase de récupération ou une clé a pu être exposée, considérer le portefeuille concerné comme non fiable. Depuis un environnement sain, suivre la procédure du fournisseur pour créer de nouveaux secrets et sécuriser les actifs, sans réutiliser la phrase potentiellement copiée.
- Examiner les autres extensions et les sessions accessibles au navigateur concerné. Préserver versions et dates d’installation puis rechercher les destinations réseau associées ; après remise en état, vérifier les nouvelles autorisations et les transactions inhabituelles avec les services de confiance concernés.
Portée et limites
Le retrait des fiches ne supprime pas nécessairement les extensions déjà installées et n’annule pas une fuite passée. Le rapport ne fournit pas ici un nombre confirmé de portefeuilles vidés. Les produits légitimes imités ne sont pas présentés comme compromis par cette découverte.
Rapport original
Malicious Firefox Extensions Impersonate Phantom, Jupiter, and Bitget to Steal Wallet Secrets — socket.dev.