אתם מתקינים תוסף לדפדפן שנראה בדיוק כמו הארנק הדיגיטלי שאתם מכירים, Rabby או OKX או TronLink, ישר מהחנות הרשמית של פיירפוקס. כמה דקות אחרי שאתם מזינים בו את מילות השחזור של הארנק, הקריפטו כבר לא שם. ככה עבדה רשת של תוספים זדוניים שחברת המחקר Socket חשפה השבוע.

מה קרה

החוקרים מיפו 77 זהויות של תוספים לפיירפוקס שחולקות קוד ותשתית משותפים, ואישרו 40 מהם כזדוניים. כולם התחזו לארנקי מטבעות קריפטו פופולריים. את המבצע הם כינו Offside, והעריכו שהוא פעיל מאז מרץ 2026. הם לא ייחסו אותו לקבוצת תקיפה מוכרת.

העיקרון פשוט. ארנק קריפטו נשען על סדרה של 12 או 24 מילים שנקראת מילות שחזור (seed phrase), ומי שמחזיק בהן שולט בכל הכסף שבארנק, בלי צורך בסיסמה. התוספים המזויפים קלטו את המילים האלה ברגע שהמשתמש יצר או ייבא ארנק, ושלחו אותן לשרתים של התוקפים. שלושה עשר מהם היו גרסאות משוכתבות של הארנק Rabby, שחילצו את המפתחות עוד לפני שהדפדפן הצפין אותם מקומית.

החלק המטריד הוא איך הם הגיעו לחנות. חלק מהתוספים התחילו את חייהם כתוסף תמים לגמרי, למשל תוצאות ספורט או כלי עזר קטן, עברו את האישור של החנות, ורק אז, בעדכון מאוחר יותר ותחת אותה זהות, הוסבו לגניבת ארנקים. כלומר תוסף שהיה נקי ביום שבו התקנתם אותו יכול להתהפך עליכם אחר כך. ברגע שהתוקף מחזיק במילות השחזור, הוא משחזר את הארנק על מכשיר אחר ומרוקן אותו, בלי לגעת במחשב שלכם שוב.

למה זה חשוב לכם

גם בישראל יש מי שמחזיק מטבעות קריפטו בארנק שרץ בתוך הדפדפן, וכל אחד מהם חשוף כאן. הלקח המרכזי הוא שהחותמת "חנות רשמית" אינה ערובה: התוסף יכול להשתנות אחרי שאושר, וההסרה של תוסף שהתגלה כזדוני לוקחת זמן.

מה עושים?

התקינו תוסף ארנק רק דרך הקישור שמופיע באתר הרשמי של הארנק עצמו, ובדקו את שם המפרסם ואת הביקורות לפני ההתקנה.

לעולם אל תקלידו את מילות השחזור לתוך חלון שקפץ ולא אתם פתחתם. ארנק אמיתי מבקש אותן רק בהקמה הראשונית, ולעולם לא שולח אותן לשום מקום.

לסכומים משמעותיים העדיפו ארנק חומרה (התקן פיזי נפרד), כך שמילות השחזור אף פעם לא עוברות דרך הדפדפן.

חוששים שהתקנתם תוסף מזויף? העבירו מיד את היתרה לארנק חדש עם מילות שחזור חדשות. הישן נחשב חשוף לתמיד.

מילות השחזור הן הארנק עצמו, לא סיסמה שאפשר להחליף בלחיצה. מי שראה אותן פעם אחת, ראה אותן לתמיד.