Solana-handelaren getroffen door maandenlange browsermalware die elke swap aftapte

Een Chrome-extensie die zich voordeed als een Solana-handelsassistent heeft maandenlang stilletjes vergoedingen weggezogen van gebruikersswaps, door gebruik te maken van verhulde transactielogica om een deel van elke transactie om te leiden naar een door een aanvaller gecontroleerde wallet.

Gefaald door cybersecuritybedrijf Socket vroeger deze week, de ‘Crypto Copilot’-extensie was sinds juni beschikbaar in de Chrome Web Store als een handig hulpmiddel voor handelaars op de populaire Solana DEX Raydium.

Echter ontdekte Socket dat het een tweede instructie injecteerde in elke Raydium-wisseltransactie — waarbij ofwel 0,0013 SOL of 0,05% van het handelsbedrag naar een vastgestelde portemonnee werd overgemaakt.

De exploit was gebaseerd op een eenvoudig mechanisme waarbij de juiste Raydium-wisselinstructie werd gegenereerd, gevolgd door het toevoegen van een verborgen overdracht.

Dit werkte omdat wallet-interfaces doorgaans instructies samenvatten als één enkele swap, en de gebundelde transactie atomaire uitvoering heeft — wat betekent dat gebruikers onbewust instemmen met beide. Stel je voor dat je een hamburger bestelt via een fastfood-app waarbij de knop "bestelling bevestigen" eigenlijk betaling, ontvangstbewijsprinting en het overhandigen van je eten en wisselgeld bundelt—alles in één naadloze handeling.

De on-chain stromen suggereren tot nu toe beperkte adoptie, waarbij slechts kleine hoeveelheden door de aanvaller zijn verzameld. Maar het mechanisme schaalt met de omvang: transacties van ongeveer 2,6 SOL of meer activeren de 0,05% vergoeding, wat betekent dat een swap van 100 SOL 0,05 SOL zou afromen, of ongeveer $10 tegen de huidige prijzen.

Verschillende andere signalen wijzen op een snel in elkaar gezette infrastructuur. De primaire domeinnaam van de extensie, cryptocopilot[.]app, is geparkeerd bij GoDaddy, terwijl de backend — crypto-coplilot-dashboard[.]vercel[.]app, met een typefout — een lege pagina retourneert ondanks het verzamelen van portemonnee-metadata.

Socket meldde dat het een formeel verwijderingsverzoek bij Google heeft ingediend, hoewel de extensie op het moment van schrijven nog actief was. Het waarschuwde gebruikers om gesloten-source extensies die ondertekeningsrechten aanvragen te vermijden en om activa over te zetten naar nieuwe wallets als zij met Crypto Copilot hebben gecommuniceerd.