加密貨幣詐騙擴充功能偽裝成知名投資人

3小时前

讀畢需時 6 分鐘

重點摘要

擴充功能並不總是如其所宣稱的那樣： LayerX 安全研究人員（現已加入 Akamai）揭露了一項包含近 30 個惡意瀏覽器擴充功能的攻擊活動。這些擴充功能透過偽裝成華倫·巴菲特（Warren Buffett）、安迪·克里格（Andy Krieger）、湯姆·布爾科夫斯基（Thomas Bulkowski）等合法且備受矚目的金融與加密貨幣投資人，來詐騙加密貨幣投資者。
共同基礎設施： 雖然這些擴充功能聲稱彼此獨立、擁有不同的名稱、網域與開發者，但它們通常共享相同的底層基礎設施，在某些情況下甚至長得一模一樣。
分流執行機制： 技術調查顯示，每個擴充功能都包含不同的執行流程：一個專為一般使用者和審查人員設計、完全無害的流程；另一個則針對目標使用者，會將他們導向外部重新導向頁面以及旨在竊取財務資訊的釣魚網站。
隱蔽且具規模： 儘管該攻擊活動在約 30 個擴充功能中目前僅有幾百次安裝，但平行擴充功能的數量龐大以及其背後技術基礎設施的複雜性，表明這是一場旨在欺騙加密貨幣使用者的精密且有組織的行動。

擴充功能並不總是如其所宣稱的那樣

如果你偶然發現了一個由華倫·巴菲特（Warren Buffett）發布的瀏覽器擴充功能，你會安裝它嗎？ 許多使用者可能會安裝。不是因為他們明白該擴充功能的作用，不是因為他們檢視了權限，也幾乎肯定不是因為他們審計了原始碼。他們安裝它，是因為他們認出這個名字。

信任是人類在做決定時所使用的最強大捷徑之一。網路罪犯對此心知肚明。多年來，攻擊者一直冒充銀行、軟體供應商、加密貨幣公司和社群媒體平台。在 LayerX（現已成為 Akamai 的一部分）所揭露的一項攻擊活動中，威脅行為者嘗試了一種略有不同的方法。

他們冒充的是「真人」。

自 2026 年 3 月起，LayerX 安全研究人員識別出了一場由 30 個擴充功能組成的瀏覽器擴充功能攻擊活動。這些擴充功能將自己包裝成生產力工具、隱私公用程式以及加密貨幣相關服務。乍看之下，它們似乎毫無關聯。然而，許多擴充功能共享了一個不尋常的特徵：

它們的發布者（Publisher）名字帶有著名投資人、交易員、避險基金經理以及金融名人的名字，包括華倫·巴菲特、約翰·保爾森（John Paulson）、安迪·克里格（Andy Krieger）等人。

需要澄清的是：這些人與這些擴充功能毫無關係，他們的名字只是被借用了。這些擴充功能以知名金融人物的名字發布，也突顯了 Chrome Web Store 生態系統的一個重要現實：發布者的名稱並未與其所聲稱的現實身分進行驗證，這讓威脅行為者得以濫用熟悉的名字作為建立信任的機制。

真正的產品：販售信譽而非軟體

在各種品牌、發布者身分和網站背後，是一個建立在共同框架上的單一營運組織。這些擴充功能共享幾乎相同的程式碼、基礎設施、重新導向機制和防分析邏輯。其中幾個擴充功能最終將受害者重新導向至旨在竊取恢復密語（Recovery Phrases）的加密貨幣錢包釣魚網站。

釣魚網站是惡意的。瀏覽器擴充功能是惡意的。但這場攻擊活動中最有趣的部分都不是這些。最有趣的部分在於意識到：攻擊者主要銷售的不是軟體，他們銷售的是信譽。

攻擊活動的結構與影響

大多數惡意的瀏覽器擴充功能都試圖看起來像使用者已經熟悉的東西：隱私公用程式、AI 助理、加密貨幣錢包或生產力工具。這場攻擊活動採取了不同的方法。它不偽裝產品，而是偽裝信譽。在多個擴充功能中，LayerX 研究人員觀察到發布者身分與投資、交易、避險基金和金融市場領域的知名人士相符。這項策略看似簡單卻極具欺騙性。

當使用者瀏覽擴充功能市集時，他們通常獲得的資訊非常有限。很少有使用者會評估原始碼，大多數人也不會進行詳細的權限審查，決定往往在幾秒鐘內做出。

熟悉的發布者名字能建立信心，受人尊敬的發布者名字能建立信任。這場攻擊活動的運營者似乎正是完全理解了這一點。擴充功能本身變成了散布機制，而發布者的身分則變成了誘餌。

然而，社交工程（Social Engineering）組件只是行動的其中一層。一旦 LayerX 研究人員超越了品牌和發布者名稱，更廣泛的模式便浮現出來。在 21 個看似毫無關聯的擴充功能背後，隱藏著相同的底層框架：

不同的名稱
不同的網站
不同的主題
幾乎相同的程式碼

這種高度的程式碼重用強烈表明，這是集中式的開發與營運，而不是獨立演員巧合地得出相同的實作結果。

信任作為攻擊面

傳統的網路釣魚活動試圖透過冒充組織來竊取信任。這場攻擊活動則是借用個人的信任。

與假的登入頁面或偽造的電子郵件不同，欺騙行為在受害者遇到惡意基礎設施之前就已經發生了。信任在安裝的那一刻就已經建立。

實際上，攻擊者將社交工程在攻擊鏈中向前推進了一步 —— 擴充功能市集本身變成了釣魚網頁。

技術概述：多個品牌背後的共同框架

雖然這些擴充功能看起來毫無關聯，但分析顯示，各樣本的執行流程具有驚人的一致性。

安裝後，擴充功能會經歷六個階段的流程（圖 1）。

不同的品牌、不同的發布者名稱、不同的網站，但底層邏輯卻幾乎完全相同。

誰是使用者？

觀察到的其中一個更有趣的機制是「地區感知（Locale-aware）行為」。

這些擴充功能會檢查瀏覽器的語言設定，並根據結果動態改變行為。

英語使用者會收到良性的儀表板或無害的功能，而在非英語地區操作的使用者則可能會被重新導向至外部基礎設施（圖 2）。

這種方法提供了幾個好處：

減少研究人員的曝光度
降低在市集審查期間被偵測到的可能性
進行選擇性的受害者鎖定
跨環境表現出不一致的行為；也就是說，同一個擴充功能在某個環境中可能完全無害，但在另一個環境中表現卻截然不同。

有人在監視嗎？

在執行任何有意義的操作之前，這些擴充功能會試圖確定自己是否受到監視。

許多惡意的瀏覽器擴充功能都面臨著相同的挑戰：它們必須在自動化市集審查、安全掃描程式和研究人員的分析中存活下來。

這些樣本透過一系列輕量級的「防分析檢查」來解決這個挑戰。

navigator.webdriver 檢查：第一個偵測機制會檢查 JavaScript 的 navigator.webdriver。當瀏覽器透過 Selenium、Puppeteer、Playwright 或 ChromeDriver 等自動化框架進行控制時，此屬性通常會被設定為 true。許多安全沙箱和自動化審查環境都會公開此數值，使其成為常見的偵測技術。
螢幕解析度驗證：這些擴充功能也會檢查螢幕尺寸。許多虛擬化或無頭（Headless）環境會公開不切實際的螢幕數值或不完整的顯示資訊。合法的使用者系統通常會提供如 1920x1080 等實際的解析度。缺失或異常的數值可能會導致擴充功能將該環境分類為可疑環境。
語言可用性檢查：另一個驗證步驟會檢查 JavaScript 的 navigator.languages。該擴充功能預期會獲得一個包含項目的語言陣列。某些自動化框架、強化隱私環境以及分析沙箱可能會公開空白或缺失的語言清單。當發生這種情況時，該環境可能會被標記為非人類（圖 3）。
圖 3：自動化環境檢查