Cảnh báo hiện đang có hơn 40 tiện ích Firefox giả đánh cắp ví tiền điện tử

Một chiến dịch độc hại tinh vi và quy mô lớn đã bị phát hiện, liên quan đến hàng chục tiện ích mở rộng giả mạo trên trình duyệt Firefox nhằm đánh cắp thông tin ví tiền điện tử của người dùng.

Theo báo cáo từ nhóm nghiên cứu bảo mật Koi Security, ít nhất 40 tiện ích độc hại đã được xác định, giả danh các ví nổi tiếng như Coinbase, MetaMask, Trust Wallet, Phantom, Exodus, OKX, Keplr, MyMonero, Bitget, Leap, Ethereum Wallet và Filfox.

Chiến dịch này đã hoạt động âm thầm từ ít nhất tháng 4/2025 và vẫn đang tiếp diễn. Nhiều tiện ích mở rộng độc hại thậm chí vẫn còn xuất hiện trên cửa hàng Firefox Add-ons tính đến tuần trước. Các tiện ích này hoạt động bằng cách đánh cắp thông tin truy cập ví tiền điện tử trực tiếp từ các trang web người dùng truy cập, sau đó gửi dữ liệu về máy chủ do kẻ tấn công kiểm soát. Ngoài ra, chúng còn thu thập địa chỉ IP bên ngoài của nạn nhân, có thể nhằm mục đích theo dõi hoặc nhắm mục tiêu tấn công sâu hơn.

Những tiện ích này được thiết kế để đánh lừa người dùng thông qua các chiêu thức tạo niềm tin phổ biến như đánh giá 5 sao giả mạo, giao diện và tên gọi giống hệt tiện ích chính thức, khiến người dùng dễ dàng nhầm lẫn. Trong một số trường hợp, kẻ tấn công đã sao chép mã nguồn mở của tiện ích gốc, chỉ thêm một vài dòng mã độc để đánh cắp dữ liệu, từ đó giữ nguyên trải nghiệm người dùng nhằm tránh bị nghi ngờ.

Koi Security cho biết chiến dịch này có thể bắt nguồn từ một nhóm nói tiếng Nga, dựa trên các đoạn mã chú thích tiếng Nga và metadata trong tài liệu PDF truy xuất từ máy chủ điều khiển (C2). Tuy nhiên, nhóm nghiên cứu lưu ý rằng việc quy trách nhiệm vẫn chưa có kết luận cuối cùng.

Khuyến nghị từ Koi Security:

• Chỉ cài đặt tiện ích từ nhà phát triển đã được xác minh.
• Không nên tin tưởng hoàn toàn vào đánh giá và xếp hạng cao trên cửa hàng tiện ích.
• Xây dựng danh sách trắng các tiện ích được phép sử dụng trong tổ chức.
• Thực hiện giám sát liên tục vì tiện ích có thể cập nhật mã độc sau khi cài đặt.

Koi Security cho rằng việc quản lý các tiện ích trình duyệt, vốn có quyền truy cập sâu vào hệ thống, là một khía cạnh an ninh mạng thường bị xem nhẹ trong thời gian dài. Công cụ của Koi hiện đang được các tập đoàn lớn, tổ chức tài chính và công nghệ sử dụng để rà soát và kiểm soát rủi ro từ các tiện ích trình duyệt và mã nguồn mở trên các nền tảng như Firefox, Chrome Web Store, VSCode, Hugging Face, Homebrew, GitHub…

Hàn Tín