Socket发现19款恶意浏览器扩展窃取以太坊(ETH)钱包机密

19款扩展,长达六个月的投放周期

一家网络安全研究机构揭露了一场针对自托管用户的大规模攻击:攻击入口不是钓鱼网站,而是用户每天都在使用的浏览器。专注于扩展商店恶意代码监测的公司Socket识别出19款面向Google Chrome与Microsoft Edge的浏览器扩展,其真实目的是窃取加密货币钱包机密。根据该公司的报告,19款恶意扩展中有18款针对Chrome用户,1款针对Edge,且每一款都在过去六个月内被发布或被“武器化”。Socket的分析师认为,这场行动最早可能可以追溯到2024年2月——若这一判断成立,意味着该攻击活动在无人察觉的情况下已经运行了超过两年。浏览器扩展在浏览器内拥有广泛的权限,一旦其中某一款被植入恶意功能,它几乎可以读取并修改用户在网上的一切操作,这正是此类入侵如此危险的原因。值得注意的是,其分发手段看起来极其“正常”:部分案例中,攻击者从零编写的扩展乍看之下完全合法,甚至带有真正有用的功能,从而积累了真实用户;另一些案例中,他们直接从原开发者手中买下已经具备良好口碑的既有扩展,之后再植入恶意功能——这种供应链式打法,利用的正是用户对成熟上架产品的信任。在已识别的19款扩展中,14款由该威胁行为者自行编写,5款购自正规开发者。其中最危险的一款名为“Enable Right Click & Copy — Smart Unlock + OCR”。Socket报告指出,该扩展的Chrome版本在恶意功能被启用时约有70,000名用户,配套的Edge版本则约有10,000名用户。Chrome版本随后已从Chrome应用商店下架,但报告发布时,Edge版本仍可下载——也就是说,在Google一侧完成清理之后,使用微软浏览器的用户依然处于暴露状态。

钱包收割机与伪造Ledger页面

报告记录的攻击能力远不止简单的凭据窃取。Socket的研究人员发现,该恶意软件会剥离网站的内容安全策略(Content Security Policy)保护——这是浏览器层面用于限制页面可执行脚本的防御机制——相当于把受信任的域名向脚本注入敞开了大门。整场攻击的核心是一款多链钱包收割机(wallet drainer),目标覆盖EVM兼容钱包、Solana和Tron。该模块会篡改去中心化应用上 legitimate 的“连接钱包”与“Swap”按钮,把用户重定向到攻击者控制的交易流程中,而界面看起来毫无变化。由于收割机复用的是应用自身的UI元素,即便是经验丰富的用户也很难察觉这次重定向。硬件钱包持有者则面临另一条攻击路径:恶意软件会伪造足以乱真的Ledger和Trezor恢复与更新页面,诱骗受害者输入助记词——这也再次提醒,无论页面看起来多么真实,Ledger恢复密钥都不应在任何网页上输入。另一组独立模块则从中心化平台抓取已认证的会话与账户信息,涉及Binance、Coinbase、Kraken、OKX、MEXC、KuCoin和Bybit,以及MetaMask钱包。这类会话劫持可以让攻击者在完全不需要密码的情况下接管交易所账户,因为窃取到的Cookie直接继承了一个已经通过验证的登录态。攻击的影响范围甚至超出了加密领域:其他模块还针对Facebook和LinkedIn账户、窃取浏览历史,并部署ClickFix风格的伪造浏览器更新页面。完整的失陷指标(IOC)清单已在该公司的技术分析中列出,见Socket对这场钱包收割机攻击的技术拆解。该公司给用户的建议非常直接:定期审计已安装的浏览器扩展,删除任何可疑或不再使用的项目。 希望实时跟踪行情的读者，可在Bybit查看现货与合约的实时价格。

扩展卫生是第一道防线

贯穿整个事件的主线是:浏览器本身已经成为数字资产的一级攻击面。一个持有者可以把资金分散到Bitcoin DeFi仓位、EVM钱包和中心化交易所账户中,但一款安装量达70,000的武器化扩展可以同时触及所有这些入口。Edge版本仍在传播、而其Chrome对应版本已被下架的事实,也说明各应用商店的执法节奏仍然参差不齐。在商店层面的审核跟上之前,扩展卫生——更少的插件、经过验证的发布者、定期审计——依然是加密用户成本最低的一道安全防线。