新しいタイプの悪意のある拡張に注意！Crypto Copilotはソラナユーザーの各取引から0.05%の資産を盗みます

Socket 脅威研究チームが最新の発見として、Crypto Copilot という名の Chrome 拡張機能が 2024 年 6 月の上线以来、継続的にソラナ取引者の資金を盗んでいることを報告しました。この拡張機能は、各 Raydium 交換取引の中で密かに追加の指示を付加し、少なくとも 0.0013 SOL または取引額の 0.05% を攻撃者が制御するウォレットに転送します。現在、この拡張機能は Chrome アプリストアでオンラインで運営されており、研究者は Google に上場廃止のリクエストを提出しましたが、まだ処理の確認を得ていません。

悪意コードの動作メカニズムの深層分析

Crypto Copilot 拡張は、高度に難読化された JavaScript コードを使用してその悪意のある行動を隠し、ユーザーが通常の Raydium 交換操作を実行する際に、2 つの連続する命令を構築します。表面的には拡張は標準的な交換命令を生成しますが、実際にはその後、ユーザーの資金を Bjeida というアドレスの攻撃者のウォレットに転送する第2の転送命令が追加されます。この巧妙に設計された二重命令構造により、ユーザーはインターフェース上で合法的な交換操作しか見ることができず、ほとんどのウォレット確認ウィンドウも取引の概要のみを表示し、完全な命令リストは表示されません。

! Crypto Copilotマルウェア

(出典:ソケット)

この拡張の料金ロジックは完全にプログラム内部にハードコーディングされており、最低料金と比例料金のどちらが高いかの原則を採用しています。具体的には、各取引で少なくとも0.0013 SOLを盗み、取引額が2.6 SOLを超える場合は0.05%の比率で資金を抽出します。この階段式の設計は、小額取引における基本的な利益を保証するだけでなく、大額取引ではより高い利益を得ることを確保しており、攻撃者が利益最大化を細かく考慮していることを示しています。

研究者は、拡張機能が変数の名前変更や積極的な最小化圧縮を通じて悪意のある行動を隠すことを発見しました。攻撃者のウォレットアドレスは、コードパッケージの無関係な変数ラベルの下に深く埋め込まれています。資金窃取機能に加えて、拡張機能は定期的に接続されたウォレットの識別子と活動データを、crypto-coplilot-dashboard.vercel.appという名前のバックエンドに送信します。このスペルミスのあるドメイン名は現在、空白のプレースホルダーのページしか表示しておらず、攻撃者のインフラの粗雑さを反映しています。

悪意の拡張技術の特徴とデータの概要

攻撃方法

• 対象ネットワーク：ソラナ ※対象:Raydium取引ユーザー *盗み率:0.05%または最小0.0013 SOL *コバートとは、取引注文の追加、コードの混乱を意味します

技術的な詳細

• ハードコーディングされた Helios API キーを使用して取引シミュレーションを行う
• スペルミスのドメインバックエンドに接続
• 変数の名前を変更して悪意のあるコードを隠す

影響範囲

※発売:2024年6月

• 現在の状態：Chrome ストアからまだダウンロード可能
• データ漏洩：ウォレット識別子と取引データ

ブラウザ拡張攻撃の業界背景とトレンド

2025年にはブラウザ拡張が最も持続的な暗号攻撃の媒体の一つとなり、この傾向はSocketチームがCrypto Copilotの分析報告を発表した際にさらに確認されました。7月のセキュリティ事件を振り返ると、MetaMask、Coinbase、Phantom、OKX、Trust Walletなどの主流ウォレットプロバイダーを偽装した40以上の悪意のあるFirefox拡張が発見されました。これらの偽造拡張はユーザーのブラウザからウォレットの認証情報を直接取得し、攻撃者が制御するサーバーに送信します。

取引所はこの種の脅威に対する反応がますます迅速になっています。OKXは公式ウォレットツールを偽装したプラグインを発見した後、公に警告を発し、関連機関に苦情を提出しました。この積極的な対応は、業界がブラウザ拡張の攻撃の危険性を認識していることを反映していますが、拡張の審査メカニズムの脆弱性は依然として悪意のあるプログラムに利用される余地を残しています。

損失規模から見ると、CertiKのデータによれば2025年上半期に盗まれた22億ドルの中で、ウォレット関連の脆弱性が占める割合は17億ドルに達し、フィッシング事件によってさらに4.1億ドルの損失が発生しました。全体的なセキュリティ状況は10月に改善の兆しを見せましたが——PeckShieldの記録によると、その月にはわずか15件のセキュリティ事件が発生し、総損失は1818万ドルで、年間最低水準を記録しました——しかし、ブラウザ拡張の脅威は逆に上昇傾向を示しています。

ユーザー保護戦略とリスク緩和の提案

複雑化するブラウザ拡張の脅威に直面して、ソラナのユーザーや他の暗号参加者は、マルチレイヤーの防護システムを構築する必要があります。最も重要な原則は、特にすべてのウェブサイトデータにアクセスすることや敏感な情報を入力することを要求する拡張に対して、拡張権限の要求を慎重に確認することです。インストール前に開発者の身元を確認し、ユーザーの評価や過去の更新履歴を確認し、特に評判の蓄積が不足している新興のツールには特別な警戒を持つべきです。

取引習慣の最適化も同様に重要です。ユーザーは、各取引を実行する前にウォレット確認ウィンドウ内の完全な取引詳細を慎重に確認し、高度な要約にのみ依存しないようにすべきです。ソラナエコシステムのユーザーは、取引指示解析をサポートするウォレットの使用を検討すると良いでしょう。これらのツールは、複雑な取引指示をより理解しやすい構成要素に分解し、異常な操作を特定するのに役立ちます。

技術保護の観点から、インストールされたブラウザ拡張機能を定期的に確認し、不必要または疑わしいコンポーネントを迅速に削除することは有効な予防策です。暗号操作のために専用のブラウザを使用し、日常のブラウジング活動と隔離することも、リスクの露出を大幅に低下させることができます。ハードウェアウォレットはこの種の攻撃を完全には防げませんが、大量の資産に追加のセキュリティ層を提供し、潜在的な損失の規模を制限することができます。

プラットフォームの責任と業界協力の緊急な必要性

Chrome アプリストアの審査メカニズムの無効は、今回の事件で露呈しました。Crypto Copilot 拡張は、6 月から継続して約半年間運営されており中断されることがなく、プラットフォーム側の悪意のあるコード検出における技術的欠陥を反映しています。Socket チームは上場廃止リクエストを提出しましたが、Google の処理の遅延がさらなるユーザーの被害を引き起こす可能性があり、この応答速度は暗号業界の安全ニーズに深刻に不一致しています。

業界の自律の観点から見ると、ウォレットプロバイダーはより多くの教育責任を負う必要があります。取引確認インターフェースの情報表示方法を改善し、より直感的なリスクの警告を提供することで、ユーザーが異常な取引をよりよく認識できるようになります。Phantomのような主流のウォレットは、取引シミュレーション機能の探求を始めており、署名前にユーザーに取引の予想結果を示すことで、この機能は隠れた命令を検出するのに特に効果的です。

規制の調整は、拡張の脅威に対処するための重要な要素でもあります。各国の金融規制機関は、ブラウザ拡張市場の監視を強化し、プラットフォーム側との迅速な通報メカニズムを構築する必要があります。同時に、法執行機関は、悪意のある拡張を発見した際に関与する資金を迅速に凍結できるように、オンチェーン資金追跡の技術能力を向上させる必要があります。被害者の損失を回復する可能性を創出するために。

安全脅威の進化とエコシステム防御システムの構築

Crypto Copilotの事件は、単なる独立したセキュリティ警告にとどまらず、ブラウザ拡張の脅威が進化し続けている最新の例でもあります。暗号産業が主流化する中で、攻撃者の技術も不断に洗練され、単純なフィッシングサイトから複雑なコードの難読化へと進化しています。防御側は同じ速さで対応策を更新する必要があります。一般ユーザーにとっては、セキュリティ意識を高め、慎重な習慣を身につけることが最も効果的な防護シールドです。一方で、業界の関係者にとっては、共有の脅威情報を構築し、迅速な対応メカニズムを確立することがエコシステムの健全な発展を保証する基盤となります。予見可能な未来においても、ブラウザ拡張は攻撃者にとって重要な突破口であり、ユーザー教育、技術の改善、規制の協力という三重の努力によって、持続的なセキュリティ攻防戦において主導権を握ることができるでしょう。