Altcoins
•
29/08/2026
Extensões do Chrome e Edge infetadas roubam carteiras de criptomoedas
Uma vaga de 19 extensões maliciosas para os navegadores Chrome e Edge foi identificada a extrair dados confidenciais de carteiras de criptomoedas e a drenar fundos dos utilizadores. De acordo com uma investigação da Socket, a campanha, rastreada sob o nome "Superior", estará em curso desde fevereiro de 2024 e recorre a táticas de dissimulação para contornar os controlos de segurança das lojas oficiais.
O esquema baseia-se em duas abordagens distintas: a publicação de ferramentas limpas que apenas mais tarde recebem atualizações com código malicioso ou a aquisição direta de extensões legítimas com bases de utilizadores já consolidadas. Das 19 extensões identificadas no relatório, 14 foram criadas e lançadas diretamente pelo cibercriminoso, enquanto as restantes 5 foram compradas aos antigos proprietários.
Compra de ferramentas populares e injeção de código
Entre os complementos adquiridos destaca-se a extensão "Enable Right Click & Copy - Smart Unlock + OCR", que acumula cerca de 80.000 utilizadores nos navegadores da Google e da Microsoft. A lista de ferramentas compradas inclui ainda "RapidLens - Google Lens for Screen Search & Images", "QuickLens - Search Screen with Google Lens", "Password Protect PDF" e "Allow Copy - Select & Enable Right Click".
Paralelamente, o atacante criou e publicou 14 extensões focadas em análise de tráfego, SEO e utilitários de criptomoedas. Entre estas contam-se "PixelCheck", "Creative Library - Ad Spy Tool", "Website Traffic Checker: MirrorSphere SEO Stats", "Site Signal - Website Traffic & SEO Checker", "SEO Pulse Pro - Website Traffic & SEO Analyzer", "Private Crypto News Reader", "Blockfolio: Address Monitor", "Crypto Rates & Fiat Converter", "Crypto Alerter: Price Alarms & Volatility Warnings", "DeFi Pulse Tracker", "Crypto Price Badge: Quick Glance", "Multi-Chain Explorer", "LedgerLook: Wallet Checker" e "Meta & Facebook Ad Library Spy - Save Ads, Finder, Downloader | FeedX-Ray".
Funcionamento técnico e risco de exfiltração de dados
Após a instalação ou atualização, as extensões estabelecem uma ligação WebSocket persistente com um servidor de comando e controlo (C2). O sistema remove os cabeçalhos de segurança Content Security Policy (CSP) das páginas visitadas e injeta módulos em JavaScript. Os investigadores identificaram 16 módulos diferentes, com capacidades para capturar credenciais, extrair o histórico do navegador, roubar sessões de redes sociais como o Facebook e LinkedIn, recolher chaves de recuperação de carteiras físicas de criptomoedas e drenar saldos em várias cadeias de blocos.
A estrutura técnica permite alternar dinamicamente os servidores de comando e os pontos de exfiltração com base nas instruções recebidas, o que reduz o risco de deteção e distribui as vítimas por infraestruturas dedicadas. Como as extensões beneficiam das definições de atualização automática ativas por defeito nos navegadores, a alteração de código em ferramentas já instaladas oferece aos atacantes um canal direto de infeção em massa.
