Solana Takinine Odaklanan Kripto Kütüğü: Crypto Copilot Eklentisinin Sinyal Değiştirme ve Bütçe Sızıntısı

Bir Chrome eklentisinin, Solana tüccarlarının yaptığı her swap işlemi üzerinden komisyon çalarak fonları bilinçsizce aktardığına dair yeni bulgular paylaşıldı. Crypto Copilot adındaki bu uzantı, Haziran 2024’ten beri Chrome Web Mağazası’nda listeli görünüyor ve kullanıcıların X akışlarından Solana işlemlerini hızlıca gerçekleştirmesi için bir kısayol olarak pazarlanıyor. Ancak arka planda, her Raydium swap işlemine ek bir transfer ekleyen ve zararlı cüzdan adresine SOL aktaran bir kod görüldü.

Socket araştırmacılarına göre uzantı, normal bir Raydium swap talimatını oluşturuyor fakat ardından SOL’u hedef adrese gönderen ikinci bir talimat daha ekliyor. Kullanıcılar yalnızca arayüzde geçerli bir swap görüyor ve çoğu cüzdan onay penceresi, işlemin tüm talimatlarını değil sadece üst düzey bir özetini gösteriyor. Bu durum, tüccarların görünen standart bir işlem gibi onay vermesine yol açıyor ve içindeki gizli transfer fark edilmeden gerçekleşiyor.

Ücret mantığı ise uzantı içindeki tamamen sabitlenmiş ve obfuscated JavaScript katmanlarıyla saklanmış durumda. Önceden belirlenen minimum ücret ile yüzdeye bağlı ücret arasındaki daha büyük olanı uygulayan bu mekanizma, 2.6 SOL’nin üzerinde olan işlemlerde tam %0.05’lik extractor’ı tetikliyor. Analistler, uzantının değişken adlandırmaları ve agresif minifikasyonla davranışı sakladığını belirtiyor ve saldırganın cüzdanı, paket içindeki zararsız bir değişkende gizli bir şekilde etiketlenmiş durumda.

İncelemeler ayrıca Crypto Copilot’un arka uç olarak crypto-coplilot-dashboard.vercel.app adlı yanlış yazımlı bir domain ile iletişim kurduğunu gösteriyor. Site boş bir sayfa sunsa da, uzantı bu arka uçla bağlanarak bağlı cüzdan kimliklerini ve işlem verilerini yolluyor; ayrıca işlem simülasyonu ve RPC çağrıları için sabit bir Helius API anahtarını kullanıyor. Bağlantılı başka bir alan olan cryptocopilot.app ise şu anda durmuş durumda. Araştırmacılar, belgelerin, işlevsel bir gösterge panosu ya da destekleyici altyapının olmamasının, meşru bir ticaret ürününden çok zararlı bir tarayıcı uzantısında görülen ortak uygulamalara işaret ettiğini belirtiyor.

On-chain aktarımlarda saldırganın cüzdanına bağlı işlem hacmi şu an için sınırlı görünüyor; bunun nedeni dağıtımın sınırlı olması olabilir. Ancak analizler, bu mekanizmanın işlem hacmi arttıkça ölçeklenebileceğini ve yüksek hacimli tüccarların zamanla daha büyük miktar kaybetme riskiyle karşı karşıya kalabileceğini gösteriyor.

Tarayıcı Tabanlı Kripto Tehditlerinde Artış Mevcut

Kripto tehditlerinin artırdığı bir dönemde, Temmuz ayında Firefox üzerinde 40’tan fazla kötü niyetli uzantı, önde gelen cüzdan sağlayıcılarını taklit edecek şekilde tespit edildi. Uzantılar kullanıcıların tarayıcılarında bulunan kimlik bilgilerini çalarak saldırgan kontrollü sunuculara gönderdi. OKX gibi borsalar, kullanıcıları uyarmış ve resmi cüzdan araçlarıyla taklit eden eklentileri şikayet etmişti. 2025’in ilk yarısında cüzdanla ilişkili ihlaller yaklaşık 1.7 milyar dolar zarar oluştururken, toplam kayıplar 2.2 milyar dolara ulaştı. Bu dönemde kimlik avı olayları 410 milyon dolar kayba yol açtı.

Çeşitli güvenlik raporları, zararlı eklentilerin saldırganlar için en inatçı vektörlerden biri olduğunu gösteriyor ve kripto kayıplarında artışa katkıda bulunuyor. Küresel siber saldırı trendlerinde bu tür mekanizmaların etkisi sürüyor; güvenlik uzmanları kullanıcıları, tarayıcı uzantılarıyla gelen tehditlere karşı uyanık olmaya davet ediyor.