حملة «مصنع سرقة المحافظ» تكشف 40 إضافة خبيثة على Firefox

كشف فريق أبحاث التهديدات في شركة Socket عن عملية منسقة لإضافات متصفح Firefox أطلق عليها اسم «مصنع سرقة المحافظ» (Offside Wallet Theft Factory). وربط الباحثون بين 77 هوية لإضافات من خلال تشابه الشيفرة المصدرية والبنية التحتية وآثار النشر وسجل الإصدارات. وثبت أن 40 إضافة منها خبيثة وتستهدف أسرار محافظ العملات الرقمية أو بيانات الاعتماد، في حين بدت 37 إضافة أخرى كتطبيقات لعرض النتائج الرياضية، ويُعتقد أنها استُخدمت كغطاء أو كإصدارات تمهيدية.

ويُرجح أن النشاط كان قائمًا منذ مارس/آذار 2026 على الأقل، من دون أن ينسبه الباحثون حتى الآن إلى جهة تهديد أو مجموعة معروفة.

ما البيانات التي استهدفتها الإضافات؟

انتحلت الإضافات الخبيثة أسماء منتجات Web3 معروفة، من بينها OKX وRabby Wallet وTronLink. وشملت أهدافها:

• عبارات استرداد محافظ العملات الرقمية والمفاتيح الخاصة.
• ملفات keyring الخاصة بالمحافظ وغيرها من بيانات المحافظ المتسلسلة.
• بيانات تسجيل الدخول إلى الحسابات.
• محتويات الحافظة، التي قد تتضمن عناوين محافظ أو أسرارًا جرى نسخها.

وضمت عائلة الإضافات التي انتحلت محفظة Rabby 13 إضافة كانت تستخرج بيانات keyring المتسلسلة قبل أن تنفذ Rabby عملية التشفير المحلية المعتادة. وبهذا حصل المشغلون على البيانات في مرحلة لم يكن التشفير المحلي قد حماها فيها بعد.

ولا يؤكد التحليل المتاح أن إضافات النتائج الرياضية الـ37 كانت تسرق المحافظ بحد ذاتها. لكن صلتها بالإضافات الخبيثة ظهرت من خلال تداخل الشيفرة والبنية التحتية وأنماط النشر وسجل الإصدارات.

أربع مجموعات وبنية تحتية قابلة للتغيير

صنّف تقرير Socket النشاط ضمن أربع مجموعات خبيثة. ولم تكن هذه المجموعات تعتمد بالضرورة على تصميم واحد متطابق، لكنها اشتركت في مؤشرات تقنية وتشغيلية سمحت بتوزيع الحملة على علامات مختلفة للمحافظ وهويات متعددة للإضافات.

كما استعانت الإضافات بخدمات سحابية جعلت تغيير سلوكها وإخفاء آثاره أسهل:

• استُخدمت Cloudflare Workers في بعض المجموعات كقنوات لتسريب البيانات المسروقة.
• دعمت بنية مستضافة على Supabase محتوى تصيد يمكن التحكم فيه عن بُعد.
• استخدمت إضافات أخرى خوادم تحكم وسيطرة مضمّنة مسبقًا لجمع بيانات الاعتماد ومحتويات الحافظة.

وكانت النتيجة أن السلوك الخبيث لم يكن مضطرًا إلى البقاء مفعّلًا بصورة دائمة في كل إصدار منشور. إذ كان من الممكن تشغيل صفحة التصيد أو تعطيلها عن بُعد من دون إرسال تحديث جديد للإضافة، ما يقلل فرص رصدها أثناء مراجعة المتجر أو عند فحص نسخة ساكنة منها.

إضافات موقّعة تحولت لاحقًا إلى برمجيات لسرقة المحافظ

برزت في الحملة حيلة أخرى تتمثل في إعادة توظيف سجل الإضافة. فقد بدأت تسع إضافات على الأقل كتطبيقات لعرض النتائج الرياضية، ثم تحولت في تحديثات لاحقة إلى برمجيات خبيثة تستهدف المحافظ.

وقد يجعل هذا الأسلوب الإضافة أقل إثارة للريبة عند نشرها أول مرة؛ فهي تبني سجلًا يبدو طبيعيًا وقد تكسب ثقة المستخدمين قبل أن يتغير سلوكها في إصدار لاحق. وفي هذه الحالة، ساعدت سجلات توقيع Mozilla، وتشابه الهويات، والشيفرة المشتركة، والبنية التحتية المعاد استخدامها، الباحثين على ربط إضافات تبدو منفصلة بعملية واحدة أوسع.

وتشير سجلات التوقيع أيضًا إلى أن النشاط يعود إلى مارس/آذار 2026 على الأقل. وتدعم هذه السجلات تقييم Socket القائل إن الهويات الـ77 كانت جزءًا من حملة منسقة، وليست مجرد إضافات خبيثة منفصلة.

ماذا يفعل مستخدمو Firefox؟

إذا ثبّتَّ إحدى الإضافات المشبوهة أو أدخلت فيها معلومات حساسة، فتعامل مع تلك المعلومات على أنها مكشوفة واتخذ الخطوات التالية:

1. احذف الإضافة فورًا. وراجع جميع إضافات Firefox المثبتة، لا الإضافة التي أثارت الشك فقط.
2. انقل أصول العملات الرقمية إلى محفظة جديدة بعبارة استرداد جديدة. لا تعاود استخدام عبارة seed أو مفتاح خاص سبق إدخاله في الإضافة.
3. غيّر كلمات المرور التي أدخلتها في الإضافة، وابدأ بالبريد الإلكتروني ومنصات تداول العملات الرقمية والحسابات التي يمكن استخدامها لاستعادة الأصول. فعّل المصادقة متعددة العوامل، وألغِ الجلسات النشطة أو مفاتيح API حيثما أمكن.
4. راقب المحافظ والحسابات بحثًا عن أي نشاط غير مصرح به.
5. أبلغ Mozilla ومزوّد المحفظة الشرعي الذي انتحلته الإضافة.

ولا ينبغي اعتبار عبارة الاسترداد أو المفتاح الخاص أو keyring المستورد آمنًا لمجرد أن عملية سرقة لم تظهر بعد. فقد صُممت الحملة لجمع بيانات يمكن أن تتيح الوصول إلى الحسابات أو الأصول في وقت لاحق، ولذلك يجب تنفيذ إجراءات المعالجة قبل ظهور نشاط مريب.

الدرس الأوسع

توضح هذه الحملة أن وجود الإضافة في متجر رسمي أو حملها توقيع صالح من المتصفح لا يكفي لإثبات موثوقيتها. فقد جمعت الإضافات المرتبطة بين علامات Web3 مزيفة، وشيفرة معاد استخدامها، وإضافات موقعة أُعيد توظيفها، ومفاتيح تصيد يمكن تشغيلها عن بُعد، وبنية تحتية مشتركة. وأصبحت هذه المؤشرات أكثر دلالة عند تحليلها معًا بدل فحص كل إضافة بمعزل عن غيرها.

وتدعم الأدلة المتاحة بوضوح تقييم الحملة التي تضم 77 إضافة، إلى جانب سلوك استخراج بيانات keyring الخاصة بمحفظة Rabby. لكنها لا تقدم تفاصيل كافية لربط كل واحدة من المجموعات الأربع بعائلة محددة من الإضافات، أو لتحديد هوية الأشخاص الذين يقفون وراء العملية.