Angripare kapar Linux Snap Store-appar för att stjäla kryptovalutafraser

21 januari 2026

Cyberbrottslingar har komprometterat betrodda Linux-applikationer på Snap Store genom att ta över utgångna domäner, vilket låter dem distribuera skadlig kod som stjäl kryptovalutagenereringsfraser. Säkerhetsexperter från SlowMist och Ubuntu-bidragsgivare Alan Pope belyste attacken, som riktar sig mot etablerade utgivarKonton för att sprida skadliga uppdateringar som utger sig för populära plånböcker. Canonical har tagit bort de påverkade snapparna, men krav på starkare skyddsåtgärder kvarstår.

Linux Snap Store måltavla för sofistikerad kryptostöldsschema Cyberangripare har utnyttjat Snap Store, Canonicals lager för Linux-mjukvarupaket, för att distribuera skadlig kod maskerad som legitima kryptoplånböcker. Genom att registrera utgångna domäner tidigare kopplade till äkta utgivare får hackare tillgång till vilande Snapcraft-konton och laddar upp skadliga uppdateringar som skördar användares plånboksåterställningsfraser. Alan Pope, tidigare Canonical-utvecklare och Ubuntu-bidragsgivare, varnade först för denna taktik den 21 januari 2026. Han beskrev hur angripare tog över domäner som storewise.tech och vagueentertainment.com med associerade e-postservrar för att återställa uppgifter. «De skadliga snappen såg normala ut men var utformade för att skörda [kryptoplånbok] återställningsfraser och skicka dem till angriparkontrollerade servrar», förklarade Pope. När användare märker problem är fonderna ofta tömda. Blockchain-säkerhetsföretaget SlowMist upprepade farhågorna i ett X-inlägg av chief information security officer 23pds. Företaget noterade att komprometterade appar efterliknar gränssnitt för populära plånböcker som Exodus, Ledger Live och Trust Wallet, och uppmanar användare att ange känsliga seed-fraser vid installation eller uppdateringar. «Angripare missbrukar utgångna domäner för att kapa långvariga Snap Store-utgivarkonton och distribuera skadliga uppdateringar via officiella kanaler», uppgav 23pds. Denna metod bygger på tidigare Snap Store-missbruk, inklusive falska konton och lock-and-switch-taktiker med oskyldiga appnamn som lemon-throw. SlowMist framhävde attackens supply-chain-natur, i linje med 2025-trender där kryptohack orsakade 3,3 miljarder dollar i förluster enligt CertiK-data, med supply-chain-incidenter på 1,45 miljarder. Canonical tog snabbt bort de skadliga snappen efter rapporter från Pope m.fl. Pope kritiserade dock förseningar i borttagningar, som kan ta dagar, och krävde bättre verifiering: övervakning av domänutgång, obligatorisk tvåfaktorsautentisering och kontroller av vilande konton. Han lanserade också SnapScope, ett webbverktyg för att skanna snappar för sårbarheter. Användare uppmanas ladda ner kryptoplånböcker direkt från officiella sajter och aktivera 2FA på konton. Utgivare bör förnya domäner omgående. Help Net Security kontaktade Canonical om planerade förbättringar, uppdateringar väntar. Händelsen understryker växande hot mot mjukvarudistributionskanaler och urholkar förtroendet för appbutiker då angripare föredrar högeffektiva utnyttjanden framför direkta kodssårbarheter.

Vad folk säger

X-diskussioner varnar Linux-användare för supply-chain-attack på Snap Store där angripare kapade utgivarKonton via utgångna domäner för att distribuera falska kryptoplånboks-uppdateringar som stjäl seed-fraser. Säkerhetsexperter som SlowMist belyser risker för långvariga användare av appar som Exodus och Ledger Live. Reaktioner uppmanar till snap-verifiering, fondsflytt och starkare skyddsåtgärder från Canonical. Vissa uttrycker frustration över Linux-säkerhetsrutiner.

Linux用户注意：Snap Store爆发新型攻击，过期域名变黑客后门盗取用户加密资产。
篡改的应用伪装成 Exodus、Ledger Live 或 Trust Wallet 等知名加密钱包，诱导用户输入“钱包恢复助记词”，导致资金被盗。https://t.co/PaHiXCbfUU

— 23pds (山哥) (@im23pds) 21 januari 2026

Your Linux Wallet Just Got Hacked (And You Didn't Even Notice)

If you're running crypto wallets on Linux, listen up.

Security firm SlowMist just exposed a massive attack hiding in plain sight.

Hackers compromised the Snap Store - Linux's official app marketplace.

They…

— Dan @BeAWhale (@BeAWhale_io) 21 januari 2026

📈 Crypto Update: SlowMist flags Linux Snap Store attack targeting crypto seed phrases

Ugh, people really gotta watch their backs, even on Linux. Scam artists are *always* tryna get at your seed phrases, so stay sharp, fam. pic.twitter.com/T9HPvgoUG2

— Jessica (@koynlabs) 21 januari 2026

SlowMist uncovers a Linux Snap Store supply chain attack where hijacked publishers pushed wallet updates to steal crypto seed phrases from longtime users. Check if your snaps are compromised. #Linux #CyberSecurity #Crypto #Infosec https://t.co/RX1jE8mnef

— Token Talk (@TokenTalkin) 21 januari 2026

🚨 Genius Linux Users Swap Security For Malware Because Clicking Install Is Easier Than Thinking

Malicious actors are uploading info-stealers to the Canonical Snap Store by masquerading as legitimate software updates to compromise the Linux supply chain.

While the Kremlin’s…

— TermsofSurrender (@Aftershockindex) 20 januari 2026

Källor

• https://www.helpnetsecurity.com/2026/01/21/linux-malware-snap-store/
• https://www.tradingview.com/news/cointelegraph:1ee6337ac094b:0-slowmist-flags-linux-snap-store-attack-targeting-crypto-seed-phrases/
• https://www.fxstreet.com/amp/cryptocurrencies/news/slowmist-flags-linux-snap-store-attack-targeting-crypto-seed-phrases-202601211212