Una investigación revela que Crypto Copilot desviaba el 0.05% de cada operación hacia una wallet del atacante sin que los usuarios lo supieran.
Crypto Copilot añadía instrucciones ocultas en cada transacción
La empresa de ciberseguridad Socket descubrió que la extensión de Chrome Crypto Copilot, diseñada para operar tokens de Solana desde X (Twitter), estaba robando fondos de manera encubierta.
Cada swap incluía una instrucción oculta que enviaba 0.05% del valor de la operación (mínimo 0.0013 SOL) a una dirección controlada por el atacante.
La pantalla de confirmación solo mostraba el swap principal, ocultando completamente la transferencia adicional.
Código ofuscado, seguimiento oculto y servidores sospechosos
El análisis reveló que la extensión aplicaba técnicas de ofuscación (código minificado, variables renombradas) para esconder su comportamiento.
Crypto Copilot se comunicaba con un backend en crypto-coplilot-dashboard.vercel.app, desde donde registraba wallets conectadas, actividad y referidos.
Los investigadores localizaron un segundo dominio, cryptocopilot.app, inactivo y sin funciones —algo inusual en herramientas legítimas.
Uso de Raydium para ejecutar swaps con transferencias encubiertas
La extensión utilizaba Raydium como AMM para enrutar swaps reales, mientras agregaba una instrucción SystemProgram.transfer a nivel on-chain.
Esto permitía robar pequeñas cantidades sin disparar alarmas visibles, especialmente entre usuarios que solo revisan el resumen superficial de la transacción.
Socket advierte que muchas transacciones pequeñas pueden generar pérdidas significativas con el tiempo.
Riesgos crecientes en extensiones de navegador para trading
Este caso subraya un patrón creciente: extensiones maliciosas que interactúan con wallets y DeFi, dirigidas a Phantom, MetaMask o Coinbase Wallet.
Los ataques más comunes incluyen:
- robo silencioso mediante transferencias ocultas
- exfiltración de seed phrases
- redirección de transacciones
Socket recomienda verificar cuidadosamente cualquier extensión, revisar instrucciones on-chain y mantenerse alerta ante nuevas amenazas.
