Hơn 40 tiện ích giả trên Firefox đánh cắp ví tiền mã hóa và dữ liệu người dùng

[WhiteHat Team]

Các nhà nghiên cứu đã phát hiện chiến dịch tấn công quy mô lớn nhắm vào người dùng trình duyệt Mozilla Firefox, sử dụng hơn 40 tiện ích độc hại nhằm đánh cắp thông tin ví tiền điện tử như: khóa cá nhân (private keys) và dữ liệu khôi phục (seed phrases), đặt tài sản kỹ thuật số của hàng ngàn người dùng vào vòng nguy hiểm.
​

Các tiện ích này mạo danh các ví nổi tiếng như: Coinbase, MetaMask, Trust Wallet, Phantom, Exodus, OKX, Keplr, MyMonero, Bitget, Leap, Ethereum Wallet… Bằng cách sử dụng tên và logo giống hệt tiện ích thật, chúng đánh lừa người dùng tưởng rằng mình đang cài đặt công cụ chính hãng.

Chiến dịch này được phát hiện là đã diễn ra âm thầm từ ít nhất tháng 4/2025, với các tiện ích được đăng lên Firefox Add-ons Store một cách công khai, thậm chí có bản cập nhật mới chỉ cách đây vài ngày.

Các chiêu trò của tin tặc:​

• Tăng đánh giá giả tạo: Các tiện ích này được bơm hàng trăm đánh giá 5 sao giả, vượt xa số lượt cài đặt thực tế, tạo cảm giác “phổ biến” để đánh vào tâm lý tin tưởng của người dùng.​
• Dựa vào mã nguồn mở: Một số ví chính hãng có mã nguồn mở, khiến tin tặc có thể dễ dàng sao chép mã gốc, sau đó chèn thêm mã độc mà không làm thay đổi giao diện hay trải nghiệm người dùng.​
• Thu thập dữ liệu nhạy cảm: Tiện ích độc hại được lập trình để trích xuất seed phrase, khóa ví từ các trang web liên quan và gửi về máy chủ từ xa.​
• Ẩn mình tốt: Do hoạt động ngay bên trong trình duyệt chứ không qua email hay trang web giả, chúng khó bị phát hiện bởi các phần mềm diệt virus truyền thống.​

Một chi tiết khác là địa chỉ IP của nạn nhân cũng bị thu thập, làm tăng nguy cơ theo dõi và khai thác thêm thông tin.

Khác với các chiến dịch lừa đảo truyền thống như phishing, nơi người dùng phải truy cập trang web giả mạo. Thì với trường hợp này, tiện ích mở rộng hoạt động âm thầm ngay trong trình duyệt, gần như không có dấu hiệu nhận biết, gây nguy cơ mất trắng tài sản số chỉ sau vài cú click tin tưởng.

Việc tấn công nhắm thẳng vào người dùng tiền mã hóa, đặc biệt là những người có thói quen lưu trữ tài sản qua các ví như MetaMask, Trust Wallet, Keplr… cho thấy mức độ nguy hiểm rất cao. Một khi seed phrase hoặc private key bị lộ, toàn bộ tài sản trong ví có thể bị đánh cắp không thể khôi phục.

Hiện tất cả các tiện ích độc hại được phát hiện (ngoại trừ tiện ích giả mạo MyMonero Wallet) đã được Mozilla gỡ bỏ khỏi kho tiện ích chính thức. Hãng cũng cho biết đã phát triển hệ thống phát hiện sớm để ngăn chặn các tiện ích ví tiền lừa đảo trước khi chúng kịp lan rộng.

Tuy nhiên, người dùng đã từng cài đặt vẫn có thể bị ảnh hưởng nếu tiện ích đã được kích hoạt và hoạt động âm thầm trước khi bị gỡ bỏ.

Để bảo vệ bản thân khỏi các tiện ích độc hại tương tự trong tương lai, người dùng nên:​

• Chỉ cài đặt tiện ích từ nhà phát triển đã xác minh, có website rõ ràng và số lượng người dùng thực tế cao.​
• Không tin tuyệt đối vào đánh giá 5 sao, đặc biệt là nếu số lượt tải thấp nhưng đánh giá lại rất nhiều.​
• Thường xuyên kiểm tra lại các tiện ích đã cài đặt, gỡ bỏ bất kỳ tiện ích nào nghi ngờ, đặc biệt là các tiện ích ví tiền nếu không chắc nguồn gốc.​
• Không bao giờ nhập seed phrase hoặc private key vào bất kỳ tiện ích trình duyệt nào, trừ khi đã kiểm tra rõ ràng đó là sản phẩm chính hãng.​
• Cập nhật trình duyệt và phần mềm bảo mật thường xuyên, đồng thời cân nhắc sử dụng trình quản lý tiện ích riêng biệt hoặc chế độ sandbox nếu cần thử tiện ích mới.​

Tiện ích là con dao hai lưỡi cần được kiểm soát. Chiến dịch tiện ích độc hại trên Firefox là minh chứng rõ ràng cho việc các mánh khóe và chiêu trò của tin tặc tạo ra ngày càng tinh vi, tận dụng cả những kênh tưởng như an toàn để khai thác nạn nhân. Trong bối cảnh tiền mã hóa phát triển mạnh và được đông đảo người dùng phổ thông tiếp cận, ý thức bảo mật và thói quen kiểm tra kỹ lưỡng trước khi cài đặt là yếu tố sống còn để bảo vệ tài sản số.

Đừng để sự tiện lợi trở thành điểm yếu chí mạng cho chính bạn.​

Theo The Hacker News​