黑客利用仿冒 Phantom、Jupiter 与 Bitget 的火狐浏览器扩展程序窃取加密货币钱包信息

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年10月29日 13:02
北京

去阅读

三款恶意火狐（Firefox）扩展程序伪装成 Phantom、Jupiter 和 Bitget，用于盗取加密货币钱包助记词与私钥。

该攻击活动使用仿冒品牌标识、捆绑凭证窃取程序，同时加载远程调用的JavaScript脚本，窃取到的全部信息会传输至 bonto[.]io 管控的恶意服务器。

在安全厂商Socket于2026年10月27日发布相关研究报告之前，这三条恶意扩展上架记录已被全部下架。

仿冒Phantom的扩展对外标榜自己为“官方Phantom钱包（火狐更新版）”；仿冒Jupiter的扩展宣称是“由Jupiter交易所开发”；仿冒Bitget的扩展则套用Bitget品牌，其程序内部实际命名为“TabFlow Pro”。

仿冒Phantom的扩展，插件ID：3092199，在后台脚本 background/serviceWorker.js 中植入了加载器。该加载器伪装成可选的统计分析组件，通过字符编码拼接出域名 phantom[.]bonto[.]io，并向该域名的 /config 配置接口请求攻击指令。

这款仿冒扩展展示名称为“Phantom by Phantom”，还盗用了正版幽灵图标（来源：Socket）。

服务器返回的数据包含激活标记以及经过Base64编码的JavaScript恶意载荷。扩展解码后，会将恶意脚本缓存至本地。

脚本会注入浏览器标签页，优先在网页主运行环境执行；主环境不可用时，则在隔离上下文运行。每当页面加载完成、插件安装完成或是浏览器启动时，注入行为都会重复触发。

这种实现方式，使得攻击者无需提交新版本扩展，就能够远程更新下发恶意代码。

Socket的研究人员表示：攻击者使用Unicode同形字符——也就是视觉上和正规钱包名称几乎一模一样的字符，同时盗用原版图标与介绍文案，以此蒙骗用户。

遭针对的加密货币钱包

Socket监测到一套正在生效的攻击配置，会下发大小为4029字节的恶意载荷。值得重点注意：远程下发脚本只是辅助手段，这三款经过Mozilla签名审核的扩展安装包内，本身就已经内置完整、可直接运行的信息窃取模块。

Phantom仿冒版的恶意载荷会检测页面输入框、文本域、粘贴事件以及页面焦点变化；同时扫描页面可见文本，识别不同长度的钱包助记词，以及兼容以太坊、Solana链的私钥格式。

恶意代码在网页主环境运行，还能够劫持Phantom注入页面的Solana接口，窃取已连接的公钥。所有窃取的数据会以JSON格式向外传出。（攻击流程示意图来源：Socket）

仿冒Jupiter扩展（插件ID：3092666）内置被篡改的后台脚本background.js，在用户导入钱包时窃取助记词和私钥。

配套的hook.js脚本会从页面输入框和剪贴板读取敏感信息，并把数据发送至 jupiter[.]bonto[.]io。

仿冒Bitget扩展（插件ID：3092059）会扫描网页，同时通过后台工作进程在钱包解密助记词时截获钱包存储数据；还会劫持新建标签页，跳转至伪造的钱包导入界面。

上述两个功能模块会把盗取信息发送到 bitget[.]bonto[.]io。

Socket技术调查还发现另外两个已配置好的恶意域名：coinbase[.]bonto[.]io 和 exodus[.]bonto[.]io，不过并未找到对应的火狐扩展上架条目。

确认的这三款恶意扩展，分别来自不同的一次性开发者账号。

Phantom仿冒扩展安装包内还附带了Node.js后端代码，功能包括记录盗取的密钥、通过Telegram转发窃取数据，并且可以跨9条区块链网络转移掏空资产。另有一台测试服务器返回未启用的攻击配置，记录了攻击者计划在插件审核通过之后切换启用恶意逻辑。这些后端文件属于打包附带的文件，并不代表Node.js会在火狐浏览器内部执行。

Socket还在程序包内的CLAUDE.md文件中找到了AI越狱提示词，这说明攻击者曾尝试借助人工智能辅助开发恶意程序或是干扰审核，但目前无法确定攻击者真实身份。本次事件中上报的钱包资产损失暂未得到核实。

Socket给出安全建议：钱包浏览器扩展务必只从官方官网下载安装。如果你的助记词或者私钥已经泄露，请立刻在一台全新的干净设备上将资产转移到新生成的钱包，原有钱包应当视作已经完全被入侵，不可继续使用。