「Safepal Wallet」という「Safepal」というアドオンに非常に名前がよく似た、ユーザーの暗号通貨を盗むFirefoxアドオンがMozillaのアドオンサイトに7カ月間公開状態になっていたことがわかりました。
Safepalは、ビットコイン、イーサリアム、ライトコインなど、1万種類以上の資産を安全に保有できる暗号通貨ウォレットアプリケーションで、「Safepal Wallet」は「Safepal」の名前を似せたプラグインでした。
この悪質なブラウザアドオンは削除されましたが、攻撃社が設定したフィッシングサイトがまだアップされているのが確認されています。
悪意のあるFirefoxアドオンで40万円＝4,000ドルを失う
「暗号通貨ウォレットをウェブブラウザでも使用するためにSafepalウォレット拡張を検索しました」
アドオンをインストールし、本物のSafepalの認証情報を使ってログインした数時間後、ユーザーはウォレットの残高が0ドルになるのを目にしたとのことです。
「ショックでした…。最後の取引を見ると、（4,000ドルの資金が）別のウォレットに移されていました。それがMozilla Firefoxのアドオンリストに登録されているアドオンだとは信じられませんでした」と、このユーザーはMozillaのサポートフォーラムに投稿しています。
「Safepal Wallet」のアドオンページには、このアドオンが少なくとも2021年2月16日からアップロードされていたようです。
同ページでは、235KBのアドオンが製品画像やマーケティング資料とともに、「秘密鍵をローカルに保存」するSafepalアプリケーションであることを説明していました。
Mozillaのウェブサイトでアドオンを公開するためには、開発者は提出されたアドオンは提出プロセスに従う必要があります。しかし、提出されたアドオンがどの程度まで安全性について審査されるのかは明らかになっていません。
今回、事件が公になってから5日以内に、Mozillaの広報担当者は調査中であると回答しました。その後、このページはMozillaによって削除されました。
Safepalは、Apple AppStoreとGoogle Playの両方で公式のスマートフォンアプリを提供していますが、本物の「Safepal」ブラウザ拡張機能があることはあまり知られていません。
幸い、Mozillaのアドオンサイトでは一部のユーザーが「Safepal Wallet」をダウンロードしないよう警告する1つ星のレビューを投稿していました。
Comments