Gefälschte Krypto-Wallets in Firefox entdeckt: Nutzern droht Diebstahl

Sicherheitsforscher haben drei schädliche Browser-Erweiterungen entdeckt, die sich als bekannte Krypto-Wallets ausgaben. Die Programme waren im offiziellen Erweiterungsportal von Firefox verfügbar und sollten Zugangsdaten von Nutzern stehlen. Wer eine solche gefälschte Wallet installiert hat, riskiert den Verlust seiner Coins.

Gefälschte Wallets imitieren Phantom, Jupiter und Bitget

Das Sicherheitsunternehmen Socket teilte am Dienstag, dem 27. Oktober, mit, drei verdächtige Erweiterungen entdeckt zu haben. Sie gaben sich als die beliebten Krypto-Wallets Phantom, Jupiter und Bitget aus.

Die Kriminellen verwendeten nahezu identische Namen, Logos und Beschreibungen. Nutzer, die über Firefox nach einer vertrauenswürdigen Wallet suchten, konnten dadurch leicht eine gefälschte Version installieren.

Die Erweiterungen sollten Wiederherstellungsphrasen und private Schlüssel abfangen. Mit diesen Daten können Kriminelle die vollständige Kontrolle über eine Krypto-Wallet erlangen und das Guthaben entwenden.

Laut Socket wurden die gestohlenen Daten an Server übermittelt, die mit der Domain bonto[.]io verbunden sind.

Besonders ausgefeilt war die gefälschte Phantom-Version. Nach der Freigabe durch Firefox konnte sie weitere Schadsoftware nachladen. So konnten die Angreifer die Funktionsweise der Erweiterung nachträglich verändern.

Zudem versuchten die Kriminellen, mit irreführenden Bewertungen Vertrauen zu schaffen. Die Zahl der Rezensionen für die gefälschte Phantom-Version stieg innerhalb von zwei Tagen von 275 auf 546.

Inzwischen wurden alle drei Erweiterungen aus dem Firefox-Erweiterungsportal entfernt.

Was sollten Krypto-Nutzer jetzt tun?

Laut Socket gibt es Hinweise darauf, dass die Angreifer auch Coinbase Wallet und Exodus nachahmen wollten. Für diese Wallets wurden verdächtige Server entdeckt, jedoch keine entsprechenden Firefox-Erweiterungen.

Bereits Anfang dieses Monats hatte das Sicherheitsunternehmen 16 weitere schädliche Erweiterungen entdeckt, die unter anderem Rabby und OKX Wallet imitierten.

Socket rät Nutzern, Browser-Erweiterungen ausschließlich über die offizielle Website des jeweiligen Wallet-Anbieters zu installieren.

Wer seine Wiederherstellungsphrase oder seinen privaten Schlüssel in einer verdächtigen Erweiterung eingegeben hat, sollte sofort auf einem nicht infizierten Gerät eine neue Wallet erstellen und seine Coins dorthin übertragen. Die Erweiterung lediglich zu entfernen, reicht nicht aus. Sobald Kriminelle eine Wiederherstellungsphrase erbeutet haben, können sie auch ohne die Schadsoftware weiterhin auf die zugehörige Wallet zugreifen.