小心你的擴充功能！惡意 Chrome 擴充功能偷取 Solana 交易

各位鄉親父老兄弟姐妹，今天要跟大家講一個恐怖的故事！你是不是也喜歡在 Google Chrome 上面裝一堆擴充功能，覺得這樣很方便？小心！有些擴充功能其實是披著羊皮的狼，會偷偷偷走你的錢！最近就出現了一個叫做 Crypto Copilot 的惡意 Chrome 擴充功能，專門偷取你在 Solana 上的交易！

根據網路安全公司 Socket 的報告，這個 Crypto Copilot 擴充功能號稱可以讓你直接在 X (以前的 Twitter) 上面交易 Solana (SOL)，聽起來是不是很方便？但是，它會在每一次的交易中，偷偷塞入一個額外的轉帳指令，把你的 SOL 轉到攻擊者的錢包！

這個擴充功能的運作方式是這樣的：它會利用去中心化交易所 Raydium 來幫你執行交易，但是在交易的同時，它會偷偷加上一個指令，把至少 0.0013 SOL 或是交易金額的 0.05% 轉到攻擊者的錢包。你在使用者介面上看到的只有正常的交易資訊，但是錢包確認畫面卻不會顯示這些個別的指令！也就是說，你以為你簽署的是一個單純的交易，但實際上卻執行了兩個指令，而且這兩個指令會在鏈上同時執行！是不是超級恐怖？

Socket 已經向 Chrome 線上應用程式商店的安全團隊提交了下架請求。這個惡意擴充功能其實已經存在一段時間了，早在 2024 年 6 月 18 日就已經上架，但是根據商店的資料，目前只有 15 個使用者。雖然使用者不多，但是造成的潛在威脅卻不容小覷！

Crypto Copilot 將自己宣傳為一個方便的工具，讓 Solana 交易者可以直接從 Twitter 上執行交易。它號稱可以讓你「立即把握交易機會，無需在應用程式或平台之間切換」。聽起來是不是很吸引人？但是，魔鬼往往藏在細節裡！

Google Chrome 擁有龐大的使用者群體和可擴展的設計，這使得它的擴充功能生態系統長期以來一直是加密貨幣詐騙的目標。早在這個月，Socket 就警告說，Chrome 線上應用程式商店中排名第四的加密貨幣錢包擴充功能正在竊取使用者的資金。在 8 月底，去中心化交易所聚合器 Jupiter 表示，他們已經發現了另一個惡意的 Chrome 擴充功能，正在清空 Solana 錢包！

今年 6 月，一位中國交易員據報導在安裝了一個名為 Aggr 的 Chrome 外掛程式後損失了 100 萬美元。該擴充功能竊取了瀏覽器 cookie 以劫持帳戶，包括訪問該交易員的幣安帳戶。

為什麼 Chrome 擴充功能這麼危險？

Chrome 擴充功能之所以這麼危險，主要有幾個原因：

• 權限過大： 很多擴充功能都會要求你授權一些不必要的權限，例如讀取你的瀏覽歷史、存取你的 Cookie 等等。這些權限一旦被惡意利用，就會對你的隱私和安全造成威脅。
• 審核不足： Chrome 線上應用程式商店的審核機制並不是很嚴格，很多惡意擴充功能都可以輕易地通過審核上架。
• 更新頻繁： 擴充功能經常會進行更新，每次更新都可能會引入新的漏洞或是惡意程式碼。

如何保護自己？

既然 Chrome 擴充功能這麼危險，那我們應該怎麼保護自己呢？以下是一些建議：

• 只安裝必要的擴充功能： 不要貪圖方便，安裝一堆你根本用不到的擴充功能。
• 仔細檢查擴充功能的權限： 在安裝擴充功能之前，一定要仔細檢查它要求的權限，看看這些權限是否合理。如果發現有擴充功能要求一些不必要的權限，就要特別小心。
• 選擇信譽良好的擴充功能： 盡量選擇那些由知名公司或是開發者開發的擴充功能。
• 定期檢查已安裝的擴充功能： 定期檢查你已經安裝的擴充功能，看看是否有任何可疑的擴充功能。
• 及時更新 Chrome 瀏覽器： Chrome 瀏覽器會定期發布更新，修補一些安全漏洞。請務必及時更新你的 Chrome 瀏覽器，以確保你的安全。
• 使用安全軟體： 安裝防毒軟體或是防火牆等安全軟體，可以有效地防止惡意程式碼入侵你的電腦。
• 不要輕易相信來路不明的連結或檔案： 不要輕易相信那些通過電子郵件或是訊息發送的來路不明的連結或檔案，這些連結或檔案很可能包含惡意程式碼。

深度分析：為什麼這種攻擊會成功？

Crypto Copilot 這種攻擊之所以會成功，除了 Chrome 擴充功能本身的漏洞之外，還有一個很重要的原因是使用者的安全意識不足。很多使用者在安裝擴充功能的時候，根本不會仔細檢查它要求的權限，也不會注意它是否可疑。此外，很多使用者對於區塊鏈交易的細節並不了解，很容易被騙。錢包 confirmation screens 呈現資訊不足也讓使用者難以發現問題。

這種攻擊也反映了區塊鏈安全性的一個挑戰：如何在提供便利性的同時，確保使用者的安全？區塊鏈技術本身是安全的，但是使用者在使用區塊鏈技術的時候，往往會因為操作不當或是安全意識不足而受到攻擊。因此，提高使用者的安全意識，加強安全教育，是非常重要的。

此外，錢包開發者也應該加強錢包的安全性，提供更完善的安全提示和警報機制，幫助使用者更好地保護自己的資產。例如，錢包可以顯示交易的詳細資訊，提醒使用者注意可疑的交易指令。錢包也可以提供風險評估功能，根據交易的複雜程度和風險程度，給予使用者不同的安全建議。

總之，保護自己的加密貨幣資產，需要你我共同努力。提高安全意識，選擇安全可靠的工具，才能避免成為下一個受害者！希望今天的文章對大家有所幫助！