Lừa đảo phí ẩn ngay trước mắt: Cách Crypto Copilot lặng lẽ rút cạn tiền của các nhà giao dịch Solana

Các nhà nghiên cứu bảo mật đã tiết lộ rằng Crypto Copilot, một tiện ích mở rộng trên Chrome, đã liên tục lấy trộm SOL từ người dùng đang cố gắng hoán đổi trên Raydium. Thay vì trực tiếp rút tiền từ ví, tiện ích mở rộng này gán một hướng dẫn chuyển tiền ẩn vào các giao dịch hợp pháp, siphoning ít nhất 0.0013 SOL hoặc 0.05% giá trị giao dịch trực tiếp vào ví của kẻ tấn công.

Cách mà Chuyển khoản Ẩn đã Lén lút Qua Màn hình Ví

Tiện ích mở rộng, được ra mắt trên Cửa hàng Chrome vào ngày 18 tháng 6 năm 2024, bởi một tài khoản nhà phát triển được liệt kê là “sjclark76,” đã tự định vị mình là người bạn đồng hành hoàn hảo cho các nhà giao dịch gắn bó với X, hứa hẹn các giao dịch ngay lập tức trực tiếp từ nguồn cấp bằng cách tích hợp với DexScreener để lấy giá, Helius để truy cập blockchain, và các ví chính thống như Phantom và Solflare.

Khi người dùng khởi động một giao dịch hoán đổi, tiện ích mở rộng lặng lẽ sửa đổi giao dịch trước khi nó đến ví.

Mã độc tiêm thêm một lệnh SystemProgram.transfer bổ sung, chuyển hướng tiền đến một địa chỉ người nhận được mã hóa cứng. Bởi vì giao dịch hợp pháp và vụ trộm được kết hợp thành một giao dịch nguyên tử duy nhất, màn hình xác nhận của ví chỉ hiển thị các chi tiết giao dịch dự kiến. Lệnh chuyển tiền bổ sung vẫn ẩn đi trừ khi người dùng có ý thức mở rộng và kiểm tra từng lệnh, một bước mà chỉ một vài nhà giao dịch thực hiện.

Mã nguồn của tiện ích mở rộng bị nén và ẩn rất nhiều, trong khi trang web chính thức được cho là của nó, cryptocopilot.app, vẫn là một miền GoDaddy đã được đỗ và không có nội dung chức năng. Tính đến ngày 27 tháng 11 năm 2025, tiện ích mở rộng, Tiền điện tử Copilot, vẫn có sẵn trên Cửa hàng Web Chrome với chỉ 12 và 15 lượt cài đặt đã biết.

Những gì người dùng phải làm trước khi quá muộn

Kế hoạch siphon được công ty an ninh Socket tiết lộ vào ngày 25 tháng 11 năm 2025, sau khi hoàn tất việc đảo ngược kỹ thuật mở rộng. Theo nhà nghiên cứu Kush Pandya, việc chuyển tiền được thêm vào một cách âm thầm và được chuyển tiếp đến một ví cá nhân thay vì đến bất kỳ kho bạc giao thức nào, có nghĩa là hầu hết các nạn nhân không bao giờ nhận ra trừ khi họ xem xét kỹ lưỡng từng hướng dẫn trước khi ký.

Socket đã gửi yêu cầu xóa đến Google. Sự cố này theo sau một loạt các cuộc tấn công tương tự nhằm vào người dùng Solana, bao gồm tiện ích mở rộng Bull Checker bị đánh dấu vào tháng 8 năm 2024 và một ví cao cấp khác bị đánh dấu vào đầu tháng 11 năm 2025, hoạt động bằng cách sử dụng các chiến thuật tương tự.

Người dùng đã từng cài đặt Crypto Copilot được khuyến nghị gỡ bỏ tiện ích mở rộng ngay lập tức, chuyển số tiền còn lại vào ví mới, và thu hồi tất cả các phê duyệt liên quan bằng cách sử dụng các dịch vụ như revoke.cash

Trong thời gian tới, các trader và nhà đầu tư được khuyên nên kiểm tra thủ công mọi hướng dẫn giao dịch trước khi ký, đặc biệt là khi sử dụng các tiện ích mở rộng trình duyệt của bên thứ ba để tương tác với các giao thức Solana.

Bài viết này được xuất bản lần đầu tiên với tiêu đề Lừa đảo Phí Ẩn Rõ Ràng: Cách mà Crypto Copilot Âm Thầm Rút Hết Tài Khoản của Các Nhà Giao Dịch Solana trên Crypto Breaking News – nguồn tin cậy của bạn về tin tức tiền điện tử, tin tức Bitcoin và cập nhật blockchain.