Três extensões maliciosas do Firefox que se passavam por Phantom, Jupiter e Bitget foram usadas para roubar frases de recuperação e chaves privadas de carteiras de criptomoedas. A campanha combina identidade visual enganosa, programas de roubo de credenciais empacotados e JavaScript entregue remotamente, com as informações furtadas sendo encaminhadas por uma infraestrutura hospedada sob bonto[.]io.
Todas as três listagens foram removidas antes de a Socket publicar suas conclusões, em 27 de outubro de 2026.
O imitador do Phantom se anunciava como “OFFICIAL PHANTOM WALLET (Firefox Update)”, enquanto o da Jupiter afirmava ter sido “Built by Jupiter Exchange”. A marca da Bitget escondia uma extensão internamente chamada “TabFlow Pro”.
O imitador do Phantom, com ID de complemento 3092199, continha um carregador anexado ao arquivo background/serviceWorker.js. Disfarçado de componente opcional de análise, ele reconstruía o endereço phantom[.]bonto[.]io a partir de códigos de caracteres e solicitava instruções ao ponto de acesso /config.
A resposta fornecia uma flag de ativação e um código JavaScript codificado em Base64. Após a decodificação, a extensão armazenava o conteúdo em cache local.
O código era injetado em abas do navegador, priorizando o ambiente principal de execução da página antes de recorrer a um contexto isolado. A injeção se repetia quando as abas terminavam de carregar e durante a instalação ou a inicialização do navegador.
Esse desenho permitia que os operadores alterassem remotamente o código entregue, sem enviar outra versão da extensão.
Pesquisadores da Socket afirmaram que os invasores usaram homóglifos Unicode, caracteres visualmente semelhantes que imitam nomes legítimos de carteiras, além de ícones copiados e textos de marketing.
Carteiras de criptomoedas visadas
A Socket observou uma configuração ativa que entregava uma carga de 4.029 bytes. O mais importante é que a entrega remota era complementar: as três extensões assinadas já continham programas de roubo completos e operacionais nos pacotes analisados pela Mozilla.
O módulo de acesso do Phantom inspecionava campos de entrada, áreas de texto, eventos de colagem e mudanças de foco. Ele também varria o texto visível das páginas em busca de frases de recuperação numeradas, reconhecendo tamanhos específicos de frases semente e padrões de chaves privadas associados a redes compatíveis com Ethereum e à Solana.
A execução no ambiente principal da página também permitia interceptar o provedor Solana injetado pelo Phantom, para coletar chaves públicas conectadas. As informações capturadas eram transmitidas em JSON (formato de troca de dados).
O imitador da Jupiter, com ID 3092666, empacotava um background.js trojanizado que exfiltrava mnemônicos e chaves privadas durante a importação de carteiras.
Um arquivo hook.js separado coletava segredos de campos de páginas e da área de transferência, enviando os dados para jupiter[.]bonto[.]io.
O imitador da Bitget, com ID 3092059, combinava a varredura de páginas com um processo em segundo plano que interceptava o armazenamento da carteira no momento em que as sementes eram descriptografadas. Também redirecionava a criação de abas para uma tela local de importação.
Os dois componentes transmitiam o material roubado para bitget[.]bonto[.]io.
A investigação técnica da Socket identificou outros hosts provisionados em coinbase[.]bonto[.]io e exodus[.]bonto[.]io, embora não tenham sido encontradas as listagens correspondentes no Firefox.
Cada extensão maliciosa confirmada foi publicada a partir de uma conta de desenvolvedor descartável e separada.
O pacote do Phantom também incluía código de backend em Node.js (ambiente de execução de JavaScript no servidor), projetado para registrar segredos, encaminhá-los pelo Telegram e drenar ativos em nove redes blockchain.
Um servidor de revisão separado retornava configurações inativas, o que documentava uma intenção de ativação após a aprovação. Esses arquivos de backend eram artefatos empacotados, e não evidências de que o Node.js tenha sido executado dentro do Firefox.
A Socket também encontrou instruções de jailbreak para IA (inteligência artificial) em arquivos CLAUDE.md, o que sugere uma tentativa de desenvolvimento ou manipulação de revisão com auxílio de IA, sem estabelecer autoria. As perdas financeiras reportadas com as carteiras não foram verificadas.
A Socket recomenda instalar extensões de carteiras apenas pelos sites oficiais dos fornecedores. Quem tiver exposto uma frase de recuperação ou uma chave privada deve transferir imediatamente os ativos para uma carteira recém-gerada em um dispositivo limpo e considerar a carteira original como comprometida.
IOCs (indicadores de comprometimento)
Nota: os endereços IP (Internet Protocol) e os domínios foram intencionalmente desfigurados (por exemplo, [.]) para evitar resolução ou criação acidental de links. A reversão dessa desfiguração deve ser feita apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (sistema de gerenciamento de eventos e informações de segurança).
