إضافة مزيفة لمتصفح كروم تقوم بتفريغ محفظة تحتوي على 200 ألف دولار من العملات المشفرة
حظيت القضية باهتمام واسع النطاق نظرًا لأن أداةً تعتمد على برنامج Claude هي التي كشفت عن وجود البرمجية الخبيثة. مع ذلك، وبحلول وقت اكتشاف الإصابة، كان الضرر قد وقع بالفعل، وفقد أحد الضحايا إمكانية الوصول إلى أمواله من العملات الرقمية.
استخدم الامتداد المسؤول نفس اسم تطبيق شرعي معروف، مما مكّنه من التخفي والتثبيت على الأجهزة المصابة دون أن يتم اكتشافه.
Claude Code found a backdoor and spyware on two MacBooks. mine and my friend's. everything was going to a guy named Li Wei on a Tencent Cloud server in Shenzhen. we checked our phones first. both clean. the MacBooks weren't. $230,000 in ETH vanished from my wallet. my friend kept losing access to his accounts no matter how many times he changed passwords. we put both MacBooks on the table and Claude Code found the same backdoor on both. on my M1 Pro it: stole my MetaMask wallet keys $230,000 in ETH sent out at 4am to 0x8a7d...3f1e on his M5 Pro it: dumped every saved password from Safari and Chrome copied active session cookies for gmail, twitter, coinbase grabbed his 2FA backup codes all going to Li Wei's server: IP → 119.28.***.47 location → Shenzhen, China provider → Tencent Cloud attacker OS → Windows 11 Pro hostname → DESKTOP-LI4*** panel language → zh-CN last ping from my Mac → 40.7**, -73.9** · 3 min ago it was still sending my location while i was scanning it. how it got in: a Chrome extension called "Notion Web Clipper" with 12 reviews. i installed it from a google ad. the real one has 400,000+ users. this one had 12. Chrome Sync pushed it to his browser automatically. i was the reason he kept getting hacked. changed every password from our phones. not from either Mac. the full step by step is below. takes 3 minutes. save it so you don't lose it and send it to anyone with a MacBook.
— starmex (@starmexxx) October 22, 2026
بحسب أحد المستخدمين المتضررين، بدأت المشكلة بنسخة مزيفة من إضافة Notion Web Clipper. فبينما كان للإضافة الأصلية حوالي مليون مستخدم، لم تتجاوز النسخ الخبيثة اثنتي عشرة عملية تثبيت، على الرغم من تشابه اسمها تماماً.
لعبت خاصية المزامنة في متصفح كروم دورًا محوريًا في انتشار الفيروس. فبسبب تفعيل المستخدم لهذه الخاصية، ظهر الملحق المُثبّت على أحد أجهزة الكمبيوتر تلقائيًا على جهاز ماك آخر عند تسجيل الدخول باستخدام حساب المتصفح نفسه.
تعرض كلا الجهازين للاختراق. أحد هذين الجهازين، المزود بشريحة M1 Pro، سُرقت مفاتيحه الخاصة المخزنة في محفظة MetaMask الخاصة بالمتصفح. وبعد ساعات، استخدم المهاجمون هذه المعلومات لتحويل ما قيمته حوالي 230 ألف دولار أمريكي من عملة إيثيريوم إلى عنوان آخر.
لم ينتهِ الأمر عند هذا الحد. ففي الجهاز الثاني، وهو جهاز MacBook Pro مزود بشريحة M5 Pro، تمكن البرنامج الخبيث من الوصول إلى كلمات المرور المحفوظة في متصفحي Safari وكروم. كما حصل على رموز النسخ الاحتياطي المستخدمة في المصادقة الثنائية.
بالإضافة إلى جمع بيانات الاعتماد، حافظ البرنامج الخبيث على نشاط في الخلفية وأرسل بيانات الموقع في الوقت الفعلي من أجهزة الكمبيوتر المخترقة.
