根据Koi Security的报告，一个名为“GreedyBear”的网络犯罪集团利用数百种虚假钱包扩展程序、恶意软件和欺诈网站，已经盗取了超过100万美元的加密货币。

Koi Security表示，这一恶意活动通过多种浏览器扩展程序、虚假网站和恶意软件实施三重攻击，累计盗取的加密货币总额超过100万美元。

Koi Security的研究员Tuval Admoni在周四的声明中提到，该团伙因其“重新定义了工业化水平的加密货币盗窃模式”而被命名为“GreedyBear”。

Admoni强调，与大多数团伙只采用单一手段不同，GreedyBear同时结合了浏览器扩展、勒索软件和钓鱼欺诈网站的攻击，取得了显著效果。

尽管GreedyBear采用的攻击方式并非首次出现，但报告强调，网络犯罪份子现今正实施多种复杂的欺诈手段。

超过150个假冒加密货币浏览器扩展

Admoni指出，已知被盗的加密货币超过100万美元，受害者主要是使用650多种针对加密钱包用户的恶意工具的加密货币用户。

该集团在Firefox浏览器市场上发布了超过150款恶意扩展程序，这些扩展程序伪装成诸如MetaMask、TronLink、Exodus和Rabby Wallet等知名加密钱包。

恶意分子采用了“扩展空壳技术（Extension Hollowing）”，首先创建合法的扩展程序以绕过市场审核，然后将其转变为恶意扩展。

Admoni解释道，这些恶意扩展会在假钱包界面的用户输入栏中窃取用户凭证。

“这种方法使GreedyBear得以绕过市场安全审核，通过伪装成合法扩展以获取用户信任和好评。”

网络安全公司Cyvers的首席执行官Deddy Lavid对Cointelegraph表示，GreedyBear的活动“显示了网络犯罪分子如何利用用户对浏览器扩展商店的信任，克隆流行的钱包插件，夸大评论，然后将其悄悄替换为窃取凭证的恶意软件。”

在七月初，Koi Security发现了40个恶意的Firefox扩展，怀疑与俄罗斯的威胁行为者有关，这一行为被称为“Foxy Wallet”活动。

加密货币主题的恶意软件

该团伙的第二个攻击渠道集中在加密货币主题的恶意软件上，Koi Security已经发现近500个相关样本。

例如，像LummaStealer这样的凭证窃取程序专门针对加密钱包信息，而勒索软件的变种如Luca Stealer则设计用于要求加密货币支付。

大多数恶意软件通过提供破解或盗版软件的俄罗斯网站进行分发，Admoni指出。

虚假网站网络

该团伙三重攻击中的第三个方面是建立虚假网站，出售假冒的加密货币相关产品和服务。

Admoni指出，这些假网站并不是普通的仿冒登录页面，而是设计精美、伪装成真正的数字钱包、硬件设备或钱包修复服务的虚假产品页面。

攻击者通过一台服务器同时控制指挥控制、凭证收集、勒索软件协调和虚假网站，使得其能够在多条渠道上高效协作。

该活动还显示出了使用AI生成代码的迹象，攻击者能够迅速扩展并多样化对加密货币的攻击方式，这标志着以加密货币为核心的网络犯罪进入新阶段。

Admoni警告：“这不是一个暂时的趋势，而是新的常态。”

Lavid补充道，这些攻击通过在钱包用户界面中直接插入恶意代码，利用用户的操作预期，成功规避了静态防御措施。这也强调了浏览器厂家加强审核、开发者提高透明度以及用户保持警惕的重要性。

相关推荐：SEC员工关于流动质押的指导意见留下监管疑问，或将面临争议