Solana-Händler von monatelanger Browser-Malware getroffen, die jeden Swap ausspähte

Eine als Solana-Handelsassistent getarnte Chrome-Erweiterung zog monatelang unbemerkt Gebühren von den Swaps der Nutzer ab und leitete mithilfe verschleierter Transaktionslogik einen Anteil jedes Handels an eine von Angreifern kontrollierte Wallet weiter.

Von der Cybersicherheitsfirma Socket markiert früher diese Woche, die Erweiterung ‚Crypto Copilot‘ war seit Juni im Chrome Web Store als Komforttool für Händler auf der beliebten Solana DEX Raydium verfügbar.

Socket stellte jedoch fest, dass in jeden Raydium-Swap eine zweite Anweisung eingefügt wurde – die entweder 0,0013 SOL oder 0,05 % des Handelsvolumens an eine fest codierte Wallet übertrug.

Der Exploit basierte auf einem einfachen Mechanismus, der darin bestand, die korrekte Raydium-Swap-Anweisung zu erzeugen und anschließend eine verborgene Transferaktion anzuhängen.

Dies funktionierte, weil Wallet-Oberflächen Anweisungen typischerweise als einen einzelnen Swap zusammenfassen und die gebündelte Transaktion atomar ausgeführt wird – das bedeutet, dass Nutzer unbewusst beide Vorgänge bestätigen. Stellen Sie sich vor, Sie bestellen einen Burger über eine Fast-Food-App, bei der die Schaltfläche „Bestellung bestätigen“ tatsächlich Zahlung, Kassenzettel-Druck sowie das Übergeben von Essen und Wechselgeld – alles in einem nahtlosen Schritt – bündelt.

On-Chain-Flüsse deuten bisher auf eine begrenzte Akzeptanz hin, wobei der Angreifer nur geringe Beträge einsammeln konnte. Doch der Mechanismus skaliert mit der Größe: Trades über etwa 2,6 SOL lösen die Gebühr von 0,05 % aus, was bedeutet, dass ein Swap von 100 SOL 0,05 SOL abzweigen würde, also etwa 10 USD bei den aktuellen Kursen.

Mehrere weitere Indikatoren deuten auf eine hastig zusammengestellte Infrastruktur hin. Die primäre Domain der Erweiterung, cryptocopilot[.]app, ist bei GoDaddy geparkt, während das Backend — crypto-coplilot-dashboard[.]vercel[.]app, einschließlich eines Rechtschreibfehlers — trotz der Sammlung von Wallet-Metadaten eine leere Seite zurückgibt.

Socket gab bekannt, dass ein formeller Takedown-Antrag bei Google eingereicht wurde, obwohl die Erweiterung zum Zeitpunkt der Erstellung dieses Textes weiterhin aktiv war. Das Unternehmen warnte die Nutzer davor, Closed-Source-Erweiterungen zu verwenden, die Signaturrechte anfordern, und empfahl, Vermögenswerte auf neue Wallets zu übertragen, falls sie mit Crypto Copilot interagiert hatten.