Cisco Talos segue una campagna attiva che ha spostato il furto di crypto dentro la sessione del browser. Il vettore è cambiato: dal codice incollato nella barra di Chrome alla persistence tramite Tampermonkey, fino alla consegna via Google Sheets e Google Visualization API dopo le interruzioni sui siti di testo condiviso.
Il meccanismo è semplice da descrivere e difficile da vedere. La vittima viene spinta a incollare JavaScript o a installarlo come estensione; quel codice si aggancia a Chrome, riscrive le risposte del sito e il contenuto della clipboard, e sostituisce gli indirizzi di deposito prima che il trasferimento parta. In pratica, il browser fidato diventa il punto in cui vengono alterati ciò che si vede e ciò che si incolla.
Per chi gestisce flussi di deposito in crypto exchange, trading platform e servizi finanziari, il rischio non è solo il workstation compromesso. Il problema si sposta sul comportamento dell’utente e sulla fiducia riposta in contenuti pubblici di Google e in estensioni legittime, che permettono persistenza e un C2 scalabile senza passare per i controlli usuali sull’endpoint.