מסך שחזור הארנק מבקש בדיוק דבר אחד: את רשימת המילים שקיבלתם כשפתחתם אותו. התוסף שמוצג בדפדפן נראה כמו Rabby או כמו OKX, השדות באותו מקום והלוגו נכון, וברגע שהמילים מוקלדות הן נשלחות גם לשרת של התוקפים. חברת האבטחה Socket מצאה 16 תוספים כאלה בחנות התוספים של פיירפוקס, וכולם הוסרו ממנה עד ה-5 באוקטובר.

מה קרה

ארנק קריפטו לא שומר מטבעות אלא מפתח, ורשימת המילים שמגיעה איתו היא הדרך לשחזר את המפתח הזה מאפס, בכל מכשיר ובכל אפליקציה. מי שמחזיק את הרשימה מחזיק את הכסף, בלי סיסמה ובלי אימות נוסף. לרשימה הזאת קוראים seed phrase או recovery phrase, וזו הסיבה שכמעט כל הונאה בתחום מכוונת אליה ולא לסיסמת החשבון.

לפי החוקר Joseph Edwards מ-Socket, ארבעה מהתוספים היו שיבוטים של ארנק Rabby והשאר של OKX. הקוד שלהם קולט את המילים ואת המפתח הפרטי בדיוק כשהמשתמש מקליד אותם בתהליך ייבוא הארנק, ומעביר אותם לכתובת שמתארחת על Cloudflare Workers; 15 מתוך 16 פנו לאותו שם מתחם. Socket מעריכה שזו המשכו של גל שהיא תיעדה באוגוסט, כי שמות התוספים, המזהים, הגרסאות והתיאורים התחלפו, ואילו ממשק הארנק המזויף, הקוד שאוסף את הסודות והתשתית שמקבלת אותם נשארו כפי שהיו.

למה זה חשוב לכם

תוסף דפדפן הוא לא אפליקציה שרצה בצד, הוא קוד שיכול לקרוא ולשנות את מה שמוצג בדפים שאתם פותחים. ארנק בתור תוסף הוא לכן גם נוח מאוד וגם חשוף מאוד, ואין במסך ההתקנה שום דבר שמבדיל בין התוסף המקורי לשיבוט שלו חוץ מהשם. התופעה גם רחבה מקריפטו: Socket תיעדה בנפרד תוסף לפיירפוקס שהוצג ככלי לאימות זהות לפני פתיחת מסמכי PDF, ובפועל הזריק קוד לדף ההתחברות של גוגל כדי לגנוב את עוגיות ההתחברות לחשבון.

מה עושים?

אם התקנתם אחד מהתוספים האלה והקלדתם בו רשימת מילים אמיתית, הסרה לא מספיקה. Socket ממליצה להניח שהארנק נפרץ, לפתוח ארנק חדש ממכשיר נקי ולהעביר אליו את הנכסים עוד היום.

התקינו תוסף ארנק רק דרך הקישור שמופיע באתר הרשמי של הפרויקט, ולא מחיפוש בחנות התוספים. ההופעה בחנות אינה אישור שמישהו בדק את הקוד.

פתחו את רשימת התוספים בדפדפן, בפיירפוקס דרך הכתובת about:addons, ומחקו כל מה שאתם לא משתמשים בו בפועל. תוסף ששכחתם ממנו ממשיך לראות כל דף שאתם פותחים.

זכרו שאף שירות, בורסה או נציג תמיכה לא מבקש את מילות השחזור. הפעם היחידה שמקלידים אותן היא שחזור שאתם יזמתם בעצמכם, באפליקציה שהגעתם אליה בעצמכם.

השמות התחלפו, התשתית לא. מי שמפעיל את הקמפיין הזה כנראה כבר העלה את הגרסה הבאה, ולה עדיין אין שם שאפשר לחפש.