Solana-handlare utsätts för ett dolt webbläsartillägg som suger ut swapavgifter

Ett smygande webbläsartillägg märkt 'Crypto Copilot' upptäcktes som sifonerade användarnas transaktionsavgifter från deras Solana-byten under flera månader innan det identifierades av cybersäkerhetsföretaget Socket.

Tillägget, som funnits i Chrome Web Store sedan juni 2025, utgav sig för att vara en handelsassistent för Raydium-användare men utförde dolda överföringsinstruktioner tillsammans med legitima swap-transaktioner.

Vid installationen injicerade 'Crypto Copilot' en extra instruktion i varje DEX-swap-paket, och dirigerade antingen 0,0013 SOL eller 0,05 % av swapbeloppet till en plånbok som kontrolleras av en angripare. Genom att utnyttja atomiska transaktioner i Solana kunde tillägget kringgå varningar i plånbokens gränssnitt, vilket fick oförsiktiga användare att samtidigt godkänna både avsedda och skadliga överföringar.

On-chain-analys visade hittills ett litet antal offer med minimala sammanlagda förluster. Dock ökar exploatet linjärt med handelsvolymen, vilket potentiellt kan sifonera betydande belopp från handlare med hög volym. Till exempel skulle en 100 SOL-swap omdirigera 0,05 SOL, motsvarande cirka 10 dollar vid rådande växlingskurser, per transaktion.

Experter inom säkerhet påpekade att tilläggets backend-infrastruktur saknade operativ mognad. Huvuddomänen cryptocopilot.app var parkerad hos en generisk hostingtjänst, medan dashboard-endpunkten innehöll typografiska fel och svarade med tomma sidor. Sådana försummelser tyder på att utnyttjandet sannolikt uppstod från amatörhotaktörer eller ett frilansarbete snarare än av en sofistikerad kampanj i samarbete med en statlig anknytning.

Procedurerna i Chrome Web Store tillät tillägget att förbli aktivt trots automatiserade granskningsmekanismer. Socket lade in en formell begäran om nedtagning, men vid tidpunkten för rapporteringen var borttagningen pågående. Användare uppmanas att granska installerade tillägg, återkalla signeringsbehörigheter och överföra medel till nya plånböcker om de har använt det komprometterade verktyget.

Kryptovalutabörser och plånbokleverantörer har uppmanats att implementera tilläggsvitlistning, multi-signatur-godkännande arbetsflöden och realtidsavkodning av transaktioner för att upptäcka bifogade instruktioner. Branschaktörer utvärderar förbättrade heuristiker för att flagga sammansatta transaktioner som avviker från typiska swap-mönster.

Anmärkningsvärt understryker händelsen de bredare riskerna med att ge webbläsartillägg signeringsbehörigheter, eftersom stängd källkod kan dölja skadlig logik. Gemenskapsdrivna revisioner, öppen källkod och decentraliserade signeringsprotokoll har föreslagits som motmedel för att skydda on-chain-tillgångsflöden.

När DeFi-aktiviteterna ökar belyser attacken behovet av strikta säkerhetsstandarder på användargränssnittets lager. Utvecklare och förvaltare måste samarbeta för att balansera bekvämlighetsfunktioner med robusta säkerhetskontroller, så att användargodkännanden speglar tydligt åtskilda on-chain-instruktioner. Utan sådana åtgärder kan liknande avgiftssifonering eller omdirigering av medel spridas över plattformar.

Forskare fortsätter att övervaka angriparens plånbok för ytterligare transaktioner och samordna med rättsmyndigheter för att spåra stulna medel. Solana-gemenskapen, börsoperatörer och cybersäkerhetsföretag samarbetar för att dela hotintelligens och stärka bästa praxis för säkra webbläsarinteraktioner i decentraliserade handelsmiljöer.