惡意擴展

ChainCatcher 消息，据 Decrypt 報導，安全公司 Socket 發布研究結果，將 77 個 Firefox 擴展身份關聯到其稱為"越位錢包盜竊工廠"的惡意活動，其中 40 個已確認存在惡意行為。這些擴展偽裝成 OKX、Rabby Wallet、TronLink 等 Web3 產品，通過偽造錢包介面誘導用戶導入錢包，或使用修改版真實錢包代碼，在用戶輸入時竊取助記詞和私鑰。Mozilla 簽名記錄顯示該活動從 3 月 9 日持續至 8 月 3 日，Socket 報告時仍有多個擴展在線。其中約半數擴展展示逼真的錢包介面並要求用戶導入現有錢包，從而截獲輸入的助記詞或私鑰；另有 13 個是 Rabby 的修改版本，在正常運作的同時將錢包存儲的帳戶數據發送至外部伺服器；還有 5 個專門收集已保存的憑證和剪貼板內容。此外，37 個擴展偽裝成密碼生成器、暗黑模式切換、VPN、貨幣轉換器和筆記工具，實際運行共享同一硬編碼憑證的體育比分應用。9 個已確認的惡意擴展最初以足球、籃球等比分應用形式發布，後續更新才替換為錢包竊取代碼。Socket 將該活動命名為"越位錢包盜竊工廠"，但提醒尚未確認所有擴展背後由同一操作者控制。Socket 團隊表示，任何在這些擴展中輸入過助記詞或私鑰的用戶都應視為"永久洩露"，並立即將資金轉移至新錢包，因為卸載擴展無法撤銷已發送到別處的助記詞。

ChainCatcher 消息，GoPlus 發布安全警報，Chrome 瀏覽器漏洞允許惡意擴展程序通過 Gemini 面板提升權限，請立即升級 Chrome 瀏覽器到 143.7499.192 版本以上。該漏洞允許惡意擴展程序控制 Chrome 瀏覽器中的 Gemini Live 面板並以此提升權限，從而在未經用戶許可的情況下訪問攝像頭和麥克風、截取螢幕截圖、訪問本地文件等。漏洞編號為 CVE-2026-0628，谷歌已於 2026 年 1 月初在 Windows/Mac 版本 143.7499.192/.193 和 Linux 版本 143.7499.192 中修復了該漏洞，請立即檢查並升級您的 Chrome 版本。

ChainCatcher 消息，据安全機構 Socket 威脅研究團隊報告，一款名為 "MEXC API Automator" 的惡意 Chrome 擴展程序自 2025 年 9 月 1 日起在 Chrome 應用商店上架，可竊取用戶在加密貨幣交易所 MEXC 新創建的 API 密鑰並發送至攻擊者控制的 Telegram 機器人。該擴展程序以交易自動化為誘餌，在用戶不知情的情況下自動生成具有提現權限的 MEXC API 密鑰，並在界面中隱藏該權限顯示，隨後將密鑰與密文外洩。攻擊者藉此可完全控制受害者的 MEXC 賬戶，執行交易、啟動自動提現操作並轉移賬戶內資產。截至報告發布時，該擴展程序仍可在 Chrome 應用商店中下載，研究團隊已向谷歌通報並標記此擴展。

ChainCatcher 消息，慢霧創始人餘弦發文稱，"大家警惕 @osiris_guard 這個所謂的 Web3 安全插件，這是一個惡意插件，如果 Chrome 上安裝了，這個惡意插件就會通過替換鏈接方式，導致用戶下載的知名程序變成木馬程序，於是電腦淪陷，最終就是電腦上有關錢包被盜、相關關鍵帳號被一窩端，結局都差不多，但騙術多了點花樣。細節分析進行中。"

ChainCatcher 消息，谷歌 Chrome 瀏覽器近日發現了一款名為"VenomSoftX"的惡意擴展程序，可以用於竊取用戶的加密貨幣和敏感數據。該擴展程序通過 Windows 版 ViperSoftX 惡意軟件安裝，是基於 JavaScript 的 RAT（遠程訪問木馬）和加密貨幣劫持者。安全公司 Avast 通過分析 ViperSoftX 和 VenomSoftX 樣本中硬編碼的錢包地址發現，截至 11 月 8 日，兩者總共為其黑客賺取了約 13 萬美元。這種被盜的加密貨幣是通過轉移被攻擊設備上嘗試的加密貨幣交易獲得的，不包括平行活動的利潤。(IT 之家)