一款以便捷交易工具為賣點的 Chrome 擴展程序，自去年六月以來一直在暗中從用戶的掉期交易中竊取 SOL，在每筆交易中注入隱藏費用，同時偽裝成合法的 索拉納 交易助手。
網絡安全公司Socket在對Chrome網上應用商店進行“持續監控”期間，發現了惡意軟件擴展程序Crypto Copilot。安全工程師兼研究員Kush Pandya表示。解密.
在分析Pandya在周三發布的惡意擴展程序中寫道，Crypto Copilot會在每封郵件中悄悄地添加一條額外的轉賬指令。Solana進行交換，從攻擊者控制的賬戶中提取至少 0.0013 SOL 或交易金額的 0.05%。錢包.
Pandya表示：“我們的AI掃描器標記了多個指標：激進的代碼混淆、嵌入在交易邏輯中的硬編碼Solana地址，以及擴展程序宣稱的功能與實際網絡行為之間的差異?！苯饷懿⒀a充說：“這些警報引發了更深入的人工分析，證實了隱藏費用提取機制的存在?！?/p>
該研究指出了基于瀏覽器的風險加密貨幣工具，特別是將社交媒體集成與交易簽名功能相結合的擴展程序。
報告稱，該擴展程序已在 Chrome 網上應用商店上架數月，但并未向用戶發出任何警告，告知其隱藏在高度混淆的代碼中的未公開費用。
Pandya 指出：“Chrome 網上應用商店的商品詳情中從未披露過收費行為，而且實現該行為的邏輯隱藏在高度混淆的代碼中?！?/p>
每次用戶交換代幣時，該擴展程序都會生成正確的 Raydium 交換指令，但會悄悄地添加一個額外的轉賬，將 SOL 指向攻擊者的地址。
Raydium 是一個基于 Solana 的去中心化交易所和自動做市商，而“Raydium 互換”則簡單地指通過其流動性池將一種代幣兌換成另一種代幣。
用戶安裝了 Crypto Copilot，以為它可以簡化他們的 Solana 交易，卻在不知不覺中每次兌換都支付了隱藏費用，這些費用從未出現在該擴展程序的營銷材料或 Chrome 網上應用商店列表中。
界面僅顯示兌換詳情，錢包彈出窗口總結交易，因此用戶簽署的看起來像是單個兌換，即使兩條指令在鏈上同時執行。
報告指出，攻擊者的錢包迄今為止只收到了少量資金，這表明 Crypto Copilot 尚未被很多用戶利用，而不是表明該漏洞風險較低。
費用機制與交易規模成正比，對于低于 2.6 SOL 的互換交易，適用最低 0.0013 SOL 的費用；對于高于該閾值的交易，則適用 0.05% 的百分比費用，這意味著 100 SOL 的互換交易將收取 0.05 SOL 的費用，按當前價格計算約為 10 美元。
報告稱，該擴展程序的主域名 cryptocopilot[.]app 由域名注冊商 GoDaddy 托管，而位于 crypto-coplilot-dashboard[.]vercel[.]app 的后端（拼寫錯誤）盡管收集了錢包數據，卻只顯示一個空白的占位符頁面。
Socket 已向谷歌 Chrome 網上應用商店安全團隊提交了下架請求，但截至發稿時，該擴展程序仍然可用。
該平臺敦促用戶在簽署交易前仔細閱讀每條指令，避免使用請求簽名權限的閉源交易擴展程序，如果安裝了 Crypto Copilot，則將資產遷移到干凈的錢包中。
惡意軟件模式
惡意軟件仍然是加密貨幣用戶日益關注的問題。9 月份，名為 ModStealer 的惡意軟件變種經查，該惡意軟件通過虛假招聘廣告攻擊 Windows、Linux 和 macOS 上的加密錢包，并躲過了主流殺毒引擎近一個月的檢測。
Ledger 首席技術官 Charles Guillemet 表示此前已發出警告攻擊者已攻破 NPM 開發者帳戶，惡意代碼試圖在跨多個區塊鏈的交易過程中悄悄交換加密錢包地址。
鄭重聲明：本文版權歸原作者所有，轉載文章僅為傳播更多信息之目的，如作者信息標記有誤，請第一時間聯系我們修改或刪除，多謝。
