Descoberta e escopo
Analistas da Socket.dev analisaram o código da extensão denominada Crypto Copilot e documentaram dois vetores principais de risco: (1) injeção silenciosa de uma transferência SOL adicional em swaps, direcionando fundos para um endereço controlado pelo atacante; e (2) exfiltração de chaves públicas de carteiras conectadas a um backend controlado pela extensão. A cobertura inicial foi publicada por Cyber Security News com base no relatório da Socket.dev.
Abordagem técnica e vetor de exploração
Segundo os pesquisadores, a extensão constrói a instrução legítima de swap (por exemplo, via Raydium) e, sem o conhecimento do usuário, anexa uma segunda instrução contendo um comando SystemProgram.transfer que envia pelo menos 0.0013 SOL ou 0.05% do valor da negociação para o endereço atacante Bjeida13AjgPaUEU9xrh1iQMwxZC7QDdvSfg730xQff7. Como muitas interfaces de carteiras mostram apenas um resumo do pacote de instruções, usuários assinavam transações que executavam ambas as operações on‑chain.
Coleta de dados e credenciais embutidas
Além do roubo de valores, a extensão enviava as chaves públicas das carteiras conectadas para um endpoint em crypto.copilot-dashboard.vercel.app/api/users, violando a privacidade dos usuários. Os pesquisadores também encontraram credenciais da API Helius embutidas no código, o que aumenta o risco de exposição de infraestrutura associada.
Implementação e camuflagem
O código malicioso foi localizado no arquivo assets/popup.js e estava fortemente ofuscado para dificultar a detecção automática. A extensão permaneceu listada no Chrome Web Store desde sua publicação (relatada originalmente em 18 de junho de 2024), sem alertas visíveis aos potenciais usuários, segundo o relatório.
Impacto e quem foi afetado
As reportagens indicam que centenas de traders podem ter sido prejudicados ao usar a extensão sob a aparência de ferramentas legítimas que integram Phantom, Solflare e serviços como DexScreener e Raydium. As fontes não fornecem uma contagem auditada de vítimas nem estimativa monetária consolidada das perdas.
Mitigações e recomendações
- Remover imediatamente extensões de origem duvidosa e revisar permissões concedidas às extensões do navegador;
- Verificar transações on‑chain diretamente na carteira e preferir interfaces que exibam instruções detalhadas antes da assinatura;
- Usar carteiras com opções de hardware ou com visualização detalhada de instruções quando disponível;
- Auditar e revogar credenciais (por exemplo, API keys) expostas em aplicações e infraestruturas associadas.
Limites das informações
As matérias e o relatório técnico documentam os mecanismos de roubo e exfiltração, mas não oferecem uma lista pública completa de vítimas, valores desviados ou se a extensão ainda está disponível no momento desta publicação. As fontes deixam claro onde localizaram o código malicioso (assets/popup.js) e o endpoint de exfiltração, mas não descrevem ações tomadas pelo Chrome Web Store ou por provedores de carteira.
Conclusão
O caso ressalta riscos inerentes a extensões de navegador que integram carteiras e constroem transações on‑chain: a simples apresentação de uma interface confiável não elimina a possibilidade de instruções adicionais serem anexadas ao pacote assinado. A descoberta foi reportada por Socket.dev e divulgada por Cyber Security News.