A Google Chrome kritikus biztonsági javítást kapott, de a kriptovaluta-tárcád továbbra is veszélyben lehet

A főkönyvi műszaki igazgató Charles Guillemet az sürgetve a kriptofelhasználók a Google Chrome frissítését követően azonnal frissítik felszabaduló egy biztonsági javítás, amely 26 sebezhetőséget javít, beleértve 4 kritikusnak és 22 magas súlyosságúnak minősített sebezhetőséget. 

A hibák közé tartoznak a memóriakezelési hibák, amelyek lehetővé tehetik a nem hitelesített támadók számára, hogy távolról, egy speciálisan létrehozott weboldalon keresztül rosszindulatú kódot futtassanak.

Mit mondott valójában a Ledger műszaki igazgatója?

Guillemet nyilvánosan megosztotta a figyelmeztetést, hozzátéve egy éles megjegyzést, amely túlmutat magán a Chrome-javításon. „Jó emlékeztető arra, hogy nem bízhatjuk meg a böngészőnket vagy a számítógépünket az értékes titkaink tekintetében” – mondta. Ez a megjegyzés kifejezetten a kriptofelhasználóknak szól, akik böngészőalapú tárcákra és bővítményekre támaszkodnak a mindennapi tevékenységeinkhez.

Az ebben a javítási ciklusban megjelölt sebezhetőségek a memóriakezelési hibák három klasszikus kategóriájába sorolhatók:

• Felszabadítás utáni használat, amikor a program a felszabadítása után is használja a memóriát
• Heap puffer túlcsordul, ahol az adatokat a lefoglalt memóriaterületen túl írják
• Határon kívüli hozzáférés, ahol a kód a kívánt tartományon kívüli memóriát olvas vagy ír

Ezek mindegyike kihasználható hasznos adatok rendszermemóriába írására és távoli kódfuttatás elérésére, gyakran anélkül, hogy a felhasználó bármit is tenne egy rosszindulatú weboldal meglátogatásán túl.

Kiürítheti egy Chrome-ban lévő támadás a kriptovaluta-tárcádat?

A kriptovalutád a láncon tárolódik, nem magában a böngészőben. Egy működő böngészőhibának azonban nem kell közvetlenül elérnie a blokkláncot ahhoz, hogy valódi kárt okozzon. A tárca interfész rétegét veszi célba, és itt válik kézzelfoghatóvá a kockázat.

Az olyan böngészőtárcák, mint a MetaMask, a Rabby és a Phantom, elsősorban Chrome-bővítményként működnek. Ha egy sérülékeny támadás a böngészőn belül történik, a támadó többféleképpen is interakcióba léphet a tárca felhasználói felületével.

Hogyan használják a támadók a böngészőhibákat a tárcafelhasználók ellen?

A böngésző környezetébe belépve a gyakori támadási módszerek a következők:

• Hamis pénztárca-promptok: A MetaMaskot vagy más tárca-megerősítő képernyőket utánzó átfedések arra kérik a felhasználókat, hogy „újracsatlakozzanak” vagy „igényeljenek” egy eszközt. A kattintás jóváhagyja a tranzakciót, amely a támadó tárcájába utalja az összeget.
• Költések jóváhagyása: Ahelyett, hogy azonnal ellopná a pénzt, a kihasználható sérülékenység token jóváhagyási aláírást kér. Ez engedélyezi a támadónak, hogy a jövőben bármikor tokeneket utaljon át.
• Munkamenet-eltérítés: Ha a támadási felület egy nyitott cserelapról rögzít munkamenet-sütiket, akkor a munkamenet végéig a felhasználó nevében működhet, további interakció nélkül áthelyezve az eszközöket.
• Vágólap és billentyűleütések visszaélése: Néhány támadás a vágólap tartalmának megfigyelésével próbálja megszerezni a másolt tárcacímeket vagy jelszavakat.

Ez nem egy elméleti forgatókönyv. 2025 decemberében a Trust Wallet megerősített egy, a Chrome-bővítmény 2.68-as verziójához kapcsolódó biztonsági incidens, amelyben egy rosszindulatú kód átjutott a tárolt tárcákon, emlékeztető kifejezésekre vonatkozó kéréseket indított el, azokat a felhasználó saját jelszavával dekódolta, és egy támadó által ellenőrzött szerverre küldte. Körülbelül 7 millió dollárt nyelt el, beleértve körülbelül 3 millió dollárt Bitcoinban és több mint 3 millió dollárt Ethereumban. 

Fedezze fel az ígéretes projekteket...

Ígéretes projektek...

(Hirdetés)

A cikk folytatódik...

A ZachXBT blokklánc-nyomozó megerősítette az áldozatok számát, akiknek az ellopott pénzét a ChangeNOW, a FixedFloat és a KuCoin rendszerén keresztül tisztították tisztára.

Nem ez az első alkalom, hogy a Chrome biztonsági problémákkal szembesült

2025 szeptemberében a Google folt egy CVE-2025-10585 azonosítójú Chrome nulladik napi hiba, amely a Chrome JavaScript motorjának, a V8-nak a típusösszezavaró hibája. A típusösszezavaró sebezhetőség azt jelenti, hogy a böngésző rosszul kezelheti a memóriában lévő objektumokat, megnyitva az utat a kód végrehajtásához. A Google akkoriban megerősítette, hogy a hibát aktívan kihasználták, még a javítás kiküldése előtt.

A javítási ciklus ugyanazt a mintát követte, mint a jelenlegi: memória szintű hiba, aktív kihasználás a vadonban, és gyorsított javítás a stabil csatornán.

Az iOS „DarkSword” támadása egy második frontot is hozzáad

Külön, Binance kiadott egy biztonsági riasztást az iOS-felhasználók számára nagyjából ugyanebben az időszakban. Az Apple azonosított egy „DarkSword” nevű kritikus sérülékenységi láncolatot, amely az iOS 18.4-től 18.7-ig terjedő verzióit érinti. 

A böngészőalapú támadásokkal ellentétben a DarkSword egy rendszerszintű sebezhetőség, amely automatikusan, felhasználói beavatkozás nélkül is aktiválódhat egy feltört webhely meglátogatásakor. Képes kinyerni érzékeny adatokat, beleértve a kriptovaluta-tárca információkat, és a végrehajtás után törölni a saját nyomait, ami megnehezíti az utólagos észlelést.

Mit kell most tenniük a kriptofelhasználóknak?

A böngésző sebezhetőségei nem újak, de a kriptofelhasználók számára a következmények közvetlenebbek, mint az átlagos internetfelhasználó számára. Egy feltört böngésző-munkamenet aláírt tranzakciókhoz, ellopott jóváhagyásokhoz és tárcák kiürüléséhez vezethet, még akkor is, ha az alapul szolgáló eszközök biztonságosan vannak a láncon.

A közvetlen lépések egyszerűek:

• Frissítse a Google Chrome-ot a legújabb verzióra a böngésző beállításaiban
• Ellenőrizd, hogy minden tárcabővítmény, beleértve a MetaMaskot, a Rabbyt és a Phantomot is, a legújabb verziót futtatja-e.
• Kerüld a váratlan pénztárca-kérések, újracsatlakozási kérelmek vagy eszközigénylési értesítések fogadását.
• Az iOS-felhasználóknak frissíteniük kell a legújabb rendszerverzióra a DarkSword támadási láncolatának kezelése érdekében.

Guillemet fő pontja attól függetlenül érvényes, hogy melyik sebezhetőség kerül a címlapokra ezen a héten. A böngésző egy ellenséges környezet a pénzügyi titkok számára. Azoknak a felhasználóknak, akik jelentős kriptovaluta-vagyont kezelnek kizárólag böngészőbővítményeken keresztül, érdemes újra átgondolniuk ezt a kockázatszámítást.

Tudástár

1. Charles Guillemet főkönyvi műszaki igazgató X-enMárcius 21-jei bejegyzés

2. Trust Wallet az X-enBejegyzés dátuma: dec. 26.

3. A Cyber ​​Press jelentéseA Google Chrome frissítése 26 biztonsági hibát javít, beleértve az RCE sebezhetőségeit is.

4. A Hacker News jelentése: A Google javítja a Chrome Zero-Day CVE-2025-10585 sérülékenységét, mivel az Active V8 kihasználása milliókat fenyeget