Gefälschte TronLink-Erweiterung stiehlt Wallet-Daten von TRON-Nutzern

Das Cybersicherheitsunternehmen SlowMist warnt vor einer neuen Phishing-Kampagne, die sich gegen Nutzer der beliebten TRON-Wallet TronLink richtet. Laut den Forschern verbreiten Angreifer eine gefälschte Chrome-Erweiterung, die kaum von der echten Version zu unterscheiden ist. Die Malware nutzt fortschrittliche Techniken, um Sicherheitskontrollen zu umgehen und sensible Wallet-Daten zu stehlen.

TRON ist erhältlich bei Bitvavo und Bybit.

Phishing-Erweiterung gibt sich als offizielle TronLink-Wallet aus

Die gefälschte Erweiterung erscheint im Chrome Web Store als legitime Version von TronLink. Laut den Forschern nutzt die Kampagne spezielle Unicode-Zeichen und kyrillische Buchstaben, um den Namen nahezu identisch mit der echten Wallet-Erweiterung erscheinen zu lassen. Dadurch fällt der Unterschied vielen Nutzern kaum auf.

Bemerkenswert ist, dass die bösartige Erweiterung auf einer Seite mit bestehenden Nutzerbewertungen und hohen Downloadzahlen auftauchte. Dadurch sinkt die Hemmschwelle für Opfer, die Erweiterung zu installieren.

SlowMist berichtet, dass der lokale Code der Erweiterung bewusst minimal gehalten wird. Anstatt Malware direkt in die Erweiterung einzubauen, lädt diese über ein iframe eine externe Phishing-Seite. Dadurch haben herkömmliche Scanner Schwierigkeiten, verdächtige Aktivitäten zu erkennen.

Auf X ansehen

Wallet-Daten werden direkt über Telegram weitergeleitet

Die externe Phishing-Seite kopiert laut SlowMist nahezu exakt die Benutzeroberfläche der offiziellen TronLink-Web-Wallet. Nutzer, die ihre Wiederherstellungsphrase, ihren Private Key, ihr Passwort oder ihre Keystore-Datei eingeben, senden diese Daten direkt an die Angreifer.

Die gestohlenen Daten werden in Echtzeit über einen Telegram-Bot weitergeleitet. Dadurch erhalten Cyberkriminelle sofortigen Zugriff auf Wallets und können Kryptowährungs-Assets verschieben, bevor die Opfer etwas bemerken.

Darüber hinaus enthält die Phishing-Seite mehrere Schutzmechanismen gegen Analysen. So deaktiviert die Malware Rechtsklicks, Developer Tools, Drag-and-Drop-Funktionen sowie Druckoptionen. Außerdem nutzt die Kampagne Standort- und Sprachfilter, um russische Nutzer umzuleiten – vermutlich, um die Aufmerksamkeit lokaler Forscher zu vermeiden.

SlowMist fordert Nutzer auf, sofort Maßnahmen zu ergreifen

Laut dem Untersuchungsbericht von SlowMist handelt es sich nicht um einen einfachen Betrug, sondern um einen technisch fortschrittlichen Angriff, der dynamische Inhalte und anti-forensische Techniken verwendet.

Das Sicherheitsunternehmen empfiehlt außerdem, localStorage zu löschen, Netzwerkaktivitäten zu überprüfen und sofort eine neue Wallet zu erstellen, falls Wallet-Daten eingegeben wurden.

Die vollständige technische Analyse der Phishing-Kampagne wurde auf Medium veröffentlicht.