Dezasseis extras do Firefox eram cópias de carteiras verdadeiras, incluindo a gralha propositada

Uma delas chamava-se Raabby WaIIet. Dois i maiúsculos no lugar dos l, um a a mais na primeira palavra e, de resto, uma cópia perfeita de uma carteira usada por quase um milhão de pessoas.

Joseph Edwards, da Socket, encontrou dezasseis destas no site de extras da Mozilla: quatro clonavam a Rabby, doze a OKX. Não eram falsificações grosseiras. Os atacantes pegaram no código completo da extensão autêntica e acrescentaram umas linhas à função de importação, de modo que, quando colava uma frase de recuperação de doze ou vinte e quatro palavras, ou uma chave privada de 64 caracteres, esta era copiada para um endereço Cloudflare Workers controlado por eles antes de a carteira prosseguir a configuração exatamente como seria de esperar. Nada falhava. Nada avisava. As dezasseis declaravam no manifesto que não recolhiam quaisquer dados. A Mozilla já as tinha retirado todas a 5 de outubro.

A maior parte de quem lê isto não tem carteira de criptomoedas, e este truque em concreto só rende se a tiver. O que vale a pena reter é o canal. Uma extensão do navegador vê tudo o que escreve numa página, e quase ninguém volta a olhar para as que instalou há dois anos por causa de um localizador de cupões ou de um botão de modo escuro. Abra esta semana a página de extensões do seu navegador e remova tudo o que não souber explicar. Se escreveu mesmo uma frase de recuperação verdadeira numa destas, dê essa carteira por perdida: crie uma nova numa máquina limpa e mova o que restar.

A verificação de segurança do Tendvane vasculha o PC à procura de software que chegou sem convite claro, e o assistente de reparação para navegador sequestrado trata da limpeza quando alguma coisa se instalou no Firefox ou no Chrome e não sai por bem.