Ang mga Solana Trader ay Tinamaan ng Mga Buwan na Browser Malware na Nag-skim sa Bawat Swap

Ang isang extension ng Chrome na nagpapanggap bilang isang Solana trading assistant ay tahimik na sumipsip ng mga bayarin mula sa mga swap ng user sa loob ng maraming buwan, gamit ang na-obfuscate na logic ng transaksyon upang iruta ang isang slice ng bawat trade sa isang wallet na kontrolado ng attacker.

Na-flag ng Cybersecurity firm na Socket mas maaga nitong linggo, ang extension na ' Crypto Copilot' ay naging available sa Chrome Web Store mula noong Hunyo bilang isang convenience tool para sa mga mangangalakal sa sikat na Solana DEX Raydium.

Gayunpaman, nakita ni Socket na nag-inject ito ng pangalawang pagtuturo sa bawat swap ng Raydium — inililipat ang alinman sa 0.0013 SOL o 0.05% ng halaga ng kalakalan sa isang hardcoded na wallet.

Ang pagsasamantala ay umasa sa isang simpleng mekanismo ng pagbuo ng tamang pagtuturo ng Raydium swap, pagkatapos ay nagdaragdag ng isang nakatagong paglilipat.

Ito ay gumana dahil ang mga interface ng wallet ay karaniwang nagbubuod ng mga tagubilin bilang isang solong swap, at ang naka-bundle na transaksyon ay nagsasagawa ng atomically — ibig sabihin, ang mga user ay hindi sinasadyang nagsa-sign off sa pareho. Isipin na mag-order ng burger sa pamamagitan ng isang fast-food app kung saan ang button na "kumpirmahin ang order" ay aktwal na nagsasama ng pagbabayad, pag-print ng resibo, at pagbibigay ng iyong pagkain at sukli—lahat sa ONE tuluy-tuloy na paglipat.

Ang mga on-chain na daloy ay nagmumungkahi ng limitadong pag-aampon sa ngayon, na may maliit na halaga lamang na nakolekta ng umaatake. Ngunit ang mekanismo ay sumusukat sa laki: ang mga pangangalakal sa itaas ng humigit-kumulang 2.6 SOL ay nagti-trigger ng 0.05% na bayad, ibig sabihin, ang isang 100 SOL swap ay mag-siphon ng 0.05 SOL, o humigit-kumulang $10 sa kasalukuyang mga presyo.

Ang ilang iba pang mga senyales ay tumuturo sa isang mabilis na binuong imprastraktura. Ang pangunahing domain ng extension, ang cryptocopilot[.]app, ay naka-park sa GoDaddy, habang ang backend nito — crypto-coplilot-dashboard[.]vercel[.]app, na kumpleto sa isang maling spelling — ay nagbabalik ng blangkong page sa kabila ng pagkolekta ng metadata ng wallet.

Sinabi ni Socket na nagsumite ito ng pormal Request sa pagtanggal sa Google, kahit na ang extension ay nanatiling live sa oras ng pagsulat. Binalaan nito ang mga user na iwasan ang mga closed-source na extension na Request ng mga pribilehiyo sa pag-sign at i-migrate ang mga asset sa mga bagong wallet kung nakipag-ugnayan sila sa Crypto Copilot.