Alerta de Seguridad: Más de 40 Extensiones Falsas en Firefox Roban Credenciales de Wallets de Criptomonedas
Introducción
El mundo de las criptomonedas no solo atrae a inversores y entusiastas, sino también a ciberdelincuentes que buscan nuevas formas de robar fondos. Recientemente, la firma de seguridad Koi Security descubrió un ataque masivo en el que más de 40 extensiones falsas en Firefox imitan wallets populares como MetaMask, Coinbase Wallet y Trust Wallet, con el único objetivo de robar credenciales y vaciar las cuentas de los usuarios.
Este tipo de amenaza no es nueva, pero la sofisticación y el volumen de estas extensiones maliciosas representan un riesgo significativo para quienes utilizan navegadores como Firefox para gestionar sus activos digitales.
Detalles del Ataque
Tipo de Amenaza: Phishing mediante Extensiones Maliciosas
Los atacantes han creado extensiones que simulan ser herramientas legítimas para interactuar con wallets de criptomonedas. Estas falsificaciones incluyen:
- Nombres y logos idénticos a los de las aplicaciones originales.
- Reseñas falsas de 5 estrellas para generar confianza.
- Código malicioso oculto que extrae credenciales y claves privadas.
Una vez instaladas, estas extensiones interceptan datos ingresados en sitios web de exchanges o wallets, enviándolos directamente a servidores controlados por los hackers.
¿Cómo Operan los Atacantes?
Técnicas de Ingeniería Social
Los ciberdelincuentes utilizan estrategias avanzadas para engañar a los usuarios:
- Clonación de extensiones de código abierto: Toman el código base de proyectos legítimos y añaden funciones maliciosas.
- Experiencia de usuario idéntica: Las extensiones falsas funcionan como las originales para evitar sospechas.
- Actualizaciones fraudulentas: Algunas incluso se actualizan automáticamente para introducir más malware.
Baja Detección
Uno de los mayores peligros es que estas extensiones no son fácilmente detectables. Muchas pasan los filtros de Mozilla y solo son removidas después de reportes masivos.
Posible Origen del Ataque
Investigadores de Koi Security encontraron indicios de que los atacantes podrían ser de habla rusa, basándose en:
- Comentarios en ruso dentro del código malicioso.
- Metadatos en archivos PDF vinculados a servidores de comando y control.
Aunque no hay una atribución confirmada, los patrones coinciden con grupos de cibercrimen conocidos por atacar plataformas financieras.
¿Cómo Protegerse?
Recomendaciones de Seguridad
- Descargar solo extensiones verificadas: Usar siempre los enlaces oficiales de los desarrolladores.
- Verificar reseñas y descargas: Extensiones con pocas instalaciones o reseñas genéricas pueden ser falsas.
- Monitorear comportamientos sospechosos: Si una extensión pide permisos innecesarios, es una señal de alerta.
- Usar autenticación de dos factores (2FA): Añade una capa extra de seguridad a tus cuentas.
- Nunca ingresar frases semilla (seed phrases) en extensiones: Las wallets legítimas nunca piden esta información fuera de su entorno seguro.
Herramientas Adicionales
- Listas de permitidos (allowlists): Configurar Firefox para bloquear extensiones no autorizadas.
- Reportar extensiones sospechosas: Notificar a Mozilla para su revisión.
Contexto y Casos Relacionados
Este no es un incidente aislado. Recientemente, se han reportado:
- Un troyano de acceso remoto detectado por Microsoft, dirigido a usuarios de MetaMask.
- Una extensión maliciosa que casi roba $80,000 en cripto antes de ser detectada.
Los hackers están enfocando sus esfuerzos en aprovechar la popularidad de las criptomonedas y la confianza de los usuarios en herramientas aparentemente legítimas.
