Solana Tüccarları, Her Takası Kesmeye Yönelik Aylar Süren Tarayıcı Kötü Yazılımından Etkilendi

Solana ticaret asistanı olarak görünen bir Chrome uzantısı, aylarca kullanıcı takaslarından ücretleri sessizce çekti ve karmaşıklaştırılmış işlem mantığını kullanarak her ticaretin bir dilimini saldırgan kontrolündeki cüzdana yönlendirdi.

Siber Güvenlik firması Socket tarafından işaretlendi bu hafta başında, ‘Crypto Copilot’ uzantısı, popüler Solana DEX Raydium’daki işlemciler için bir kolaylık aracı olarak Haziran ayından beri Chrome Web Mağazası’nda kullanıma sunulmuştu.

Ancak, Socket her Raydium takasında ikinci bir talimat enjekte ettiğini tespit etti — işlem tutarının ya 0.0013 SOL'unu ya da %0,05'ini sabit kodlanmış bir cüzdana transfer ediyordu.

Sömürü, doğru Raydium takas talimatını oluşturma ve ardından gizli bir transfer ekleme mekanizmasına dayanıyordu.

Bu, cüzdan arayüzlerinin genellikle talimatları tek bir takas olarak özetlemesi ve toplu işlemin atomik olarak gerçekleştirilmesi nedeniyle çalıştı — bu da kullanıcıların her iki işlemi de farkında olmadan onaylaması anlamına gelir. Bir fast-food uygulaması üzerinden sipariş verirken, "siparişi onayla" düğmesinin aslında ödemeyi, fiş basımını ve yiyecek ile para üstünü teslim etmeyi tek bir kesintisiz hareketle birleştirdiğini hayal edin.

Zincir üstü akışlar, şu ana kadar sınırlı bir benimsemeyi göstermektedir ve saldırgan tarafından yalnızca küçük miktarlar toplanmıştır. Ancak mekanizma, büyüklükle orantılı olarak ölçeklenir: yaklaşık 2.6 SOL üzerindeki işlemler %0,05 ücretini tetikler; bu da 100 SOL'luk bir takasın 0,05 SOL veya mevcut fiyatlarla yaklaşık 10 dolar çekmesi anlamına gelir.

Birçok diğer işaret, aceleyle oluşturulmuş bir altyapıya işaret ediyor. Uzantının ana alan adı cryptocopilot[.]app GoDaddy üzerinde park edilmiş durumda, arka ucu ise – içinde yazım hatası bulunan crypto-coplilot-dashboard[.]vercel[.]app – cüzdan meta verilerini toplamasına rağmen boş bir sayfa döndürüyor.

Socket, Google’a resmi bir kaldırma talebi gönderdiklerini ancak yazım anında eklentinin hala aktif olduğunu belirtti. Kullanıcıları, imzalama yetkisi talep eden kapalı kaynaklı eklentilerden kaçınmaları ve Crypto Copilot ile etkileşimde bulunduysalar varlıklarını yeni cüzdanlara taşımaları konusunda uyardı.