Seize modules Firefox copiaient de vrais portefeuilles, jusqu'à la faute de frappe volontaire

L'une d'elles s'appelait Raabby WaIIet. Deux i majuscules à la place des l, un a de trop dans le premier mot, et pour le reste une copie parfaite d'un portefeuille utilisé par près d'un million de personnes.

Joseph Edwards, de Socket, en a trouvé seize sur le site des modules de Mozilla : quatre clonant Rabby, douze clonant OKX. Ce n'étaient pas des faux grossiers. Les attaquants ont repris tout le code de l'extension authentique et ajouté quelques lignes à la fonction d'importation, si bien que lorsque vous colliez une phrase de récupération de douze ou vingt-quatre mots, ou une clé privée de 64 caractères, elle était recopiée vers une adresse Cloudflare Workers contrôlée par eux avant que le portefeuille poursuive son installation exactement comme prévu. Rien ne cassait. Rien n'avertissait. Les seize déclaraient dans leur manifeste ne collecter aucune donnée. Mozilla avait tout retiré au 5 octobre.

La plupart des lecteurs n'ont pas de portefeuille crypto, et l'astuce précise décrite ici ne rapporte que si vous en avez un. Ce qu'il faut retenir, c'est le canal. Une extension de navigateur voit tout ce que vous tapez dans une page, et presque personne ne repasse en revue celles installées il y a deux ans pour un chercheur de bons de réduction ou un bouton de mode sombre. Ouvrez cette semaine la page des extensions de votre navigateur et supprimez tout ce que vous ne savez pas expliquer. Si vous avez vraiment saisi une phrase de récupération dans l'une de ces extensions, considérez ce portefeuille comme perdu : créez-en un nouveau sur une machine saine et déplacez ce qu'il reste.

Le contrôle de sécurité de Tendvane passe le PC au peigne fin à la recherche de logiciels arrivés sans invitation claire, et l'assistant de réparation navigateur détourné prend en charge le nettoyage quand quelque chose s'est installé dans Firefox ou Chrome et refuse de partir.