Extensão maliciosa do Chrome desvia frações de swaps em Solana com transferências ocultas

São Paulo, — Uma extensão do Google Chrome chamada Crypto Copilot está permitindo que usuários negociem tokens da rede Solana (SOL) diretamente no X (antigo Twitter) enquanto direciona, de forma silenciosa, uma taxa para a carteira dos criadores da ferramenta.

O comportamento foi detalhado em relatório divulgado nesta terça-feira pela empresa de cibersegurança Socket. Segundo a investigação, o complemento injeta uma segunda instrução em cada operação de swap realizada pelo usuário, desviando no mínimo 0,0013 SOL ou 0,05% do valor negociado.

Como o golpe funciona

Na prática, a extensão utiliza o protocolo Raydium para efetuar a troca solicitada, mas adiciona uma transferência adicional de SOL para o endereço dos invasores. A interface exibe apenas os dados do swap, e as telas de confirmação da carteira apresentam um resumo que não revela as instruções individualizadas. Assim, o usuário assina o que acredita ser uma única transação, mas ambas as operações são executadas atomica­mente na blockchain.

Disponível desde junho

Publicada em 18 de junho de 2024 na Chrome Web Store, a Crypto Copilot permanecia ativa com cerca de 15 usuários no momento do relatório. A Socket informou ter enviado um pedido de remoção à equipe de segurança da loja.

Market­eada como solução de conveniência, a extensão promete “agir sobre oportunidades de trading instantaneamente, sem trocar de aplicativos ou plataformas”.

Imagem: cointelegraph.com

Série de ataques via extensões

O caso se soma a uma lista crescente de golpes envolvendo extensões do Chrome voltadas para criptomoedas. No início de setembro, a própria Socket alertou que a quarta extensão de carteira cripto mais popular da loja estava drenando fundos de usuários. Em agosto, o agregador de exchanges descentralizadas Jupiter identificou outro complemento malicioso capaz de esvaziar carteiras Solana. Já em junho, um trader chinês relatou a perda de US$ 1 milhão após instalar o plugin Aggr, que roubava cookies do navegador para acessar contas, inclusive na Binance.

A Socket recomenda que investidores verifiquem cuidadosamente as permissões solicitadas por extensões e mantenham carteiras e navegadores sempre atualizados.