Kampaň byla podle výzkumníků aktivní nejméně od března 2026. Zatím nebyla připsána žádnému známému útočníkovi ani skupině.

Na co škodlivé doplňky cílily

Útočníci napodobovali produkty Web3, mimo jiné OKX, Rabby Wallet a TronLink. Rozšíření se pokoušela získat:

• obnovovací fráze kryptoměnových peněženek a soukromé klíče,
• keyringy a další serializovaná data peněženek,
• přihlašovací údaje k účtům,
• obsah schránky, do které si uživatelé mohou kopírovat adresy peněženek i citlivé údaje.

V jedné skupině zaměřené na Rabby Wallet bylo identifikováno 13 napodobujících rozšíření. Ta odesílala serializovaná data keyringu ještě před běžným lokálním šifrováním Rabby. Útočníci tak mohli data zachytit ve fázi, kdy je šifrování na zařízení ještě nechránilo.

U 37 rozšíření zobrazujících sportovní výsledky nebylo v dostupné analýze potvrzeno, že sama kradla údaje z kryptopeněženek. S ostatními doplňky je spojovaly překryvy ve kódu, infrastruktuře, způsobu publikování a historii verzí.

Čtyři škodlivé klastry a vzdálené ovládání

Socket aktivitu rozdělil do čtyř škodlivých klastrů. Ty nespoléhaly na jedinou přesnou kopii rozšíření, ale sdílely technické a provozní charakteristiky. Útočníkům to umožnilo kampaň rozprostřít mezi více značek kryptopeněženek a různých identit doplňků.

Významnou roli hrály také služby, které usnadňovaly změny v kampani a komplikovaly její kontrolu:

• Cloudflare Workers některé klastry využívaly jako kanály pro odčerpávání ukradených dat.
• Infrastruktura hostovaná v Supabase podporovala vzdáleně ovládaný phishingový obsah.
• Jiná rozšíření používala napevno zadané servery pro řízení a kontrolu útoku, kam odesílala přihlašovací údaje a data ze schránky.

Díky tomuto uspořádání nemusela být škodlivá funkce trvale aktivní v každé zveřejněné verzi doplňku. Phishingovou stránku bylo možné na dálku zapnout nebo vypnout bez vydání nové aktualizace. Při kontrole v obchodě s doplňky tak nemusela být zrovna aktivní a pozdější kontrola mohla dopadnout stejně.

Některé podepsané doplňky se změnily v malware

Jedním z výrazných signálů obcházení detekce bylo postupné přeúčelování starších verzí. Nejméně devět rozšíření začínalo jako aplikace se sportovními výsledky, ale pozdější aktualizace z nich udělaly malware zaměřený na kryptopeněženky.

Tato taktika může doplňku při prvním zveřejnění dodat méně podezřelou historii a časem také důvěru uživatelů. V tomto případě pomohly výzkumníkům propojit zdánlivě oddělené doplňky záznamy o podepisování Mozilly, překrývající se identity, společný kód i sdílená infrastruktura.

Záznamy o podepisování zároveň ukazují, že aktivita sahala nejméně do března 2026. Spolu s dalšími technickými shodami podporují závěr, že 77 identit tvořilo koordinovanou kampaň, nikoli soubor nesouvisejících škodlivých publikací.

Co by měli uživatelé Firefoxu udělat

Pokud jste si nainstalovali podezřelé rozšíření nebo do něj zadali citlivé údaje, jednejte, jako by tyto údaje unikly:

1. Rozšíření okamžitě odstraňte. Projděte všechna nainstalovaná rozšíření Firefoxu, nejen to, které ve vás vyvolalo podezření.
2. Převeďte kryptoměny do nově vytvořené peněženky s novou obnovovací frází. Ohroženou seed frázi ani soukromý klíč už nepoužívejte.
3. Změňte všechna hesla zadaná do doplňku, především heslo k e-mailu, kryptoměnovým burzám a dalším účtům, které by mohly sloužit k obnovení přístupu k aktivům. Zapněte vícefaktorové ověřování a podle možností zrušte aktivní relace nebo API klíče.
4. Sledujte peněženky a účty kvůli neoprávněným aktivitám.
5. Nahlaste rozšíření Mozille i legitimnímu poskytovateli peněženky, za kterého se vydávalo.

Obnovovací frázi, soukromý klíč ani importovaný keyring Rabby nepovažujte za bezpečné jen proto, že se zatím neobjevila žádná krádež. Kampaň byla navržena tak, aby získala data umožňující pozdější přístup k účtům nebo digitálním aktivům. Nápravu proto neodkládejte až na okamžik, kdy se objeví podezřelá transakce.

Co z kampaně plyne

Přítomnost v oficiálním katalogu ani platný podpis rozšíření samy o sobě nestačí jako důkaz důvěryhodnosti. Propojené doplňky kombinovaly falešné značky Web3, kopírovaný kód, přeúčelované podepsané verze, vzdáleně ovládané phishingové přepínače a společnou infrastrukturu. Tyto signály byly při společné analýze mnohem výmluvnější než při posuzování každého rozšíření zvlášť.

Dostupné důkazy podporují závěr o 77 propojených rozšířeních i zjištění o odčerpávání keyringů Rabby. Neumožňují však spolehlivě přiřadit každý ze čtyř klastrů ke konkrétní rodině doplňků ani určit osoby stojící za operací.

Kampaň byla podle výzkumníků aktivní nejméně od března 2026. Zatím nebyla připsána žádnému známému útočníkovi ani skupině.

Na co škodlivé doplňky cílily

Útočníci napodobovali produkty Web3, mimo jiné OKX, Rabby Wallet a TronLink. Rozšíření se pokoušela získat:

• obnovovací fráze kryptoměnových peněženek a soukromé klíče,
• keyringy a další serializovaná data peněženek,
• přihlašovací údaje k účtům,
• obsah schránky, do které si uživatelé mohou kopírovat adresy peněženek i citlivé údaje.

V jedné skupině zaměřené na Rabby Wallet bylo identifikováno 13 napodobujících rozšíření. Ta odesílala serializovaná data keyringu ještě před běžným lokálním šifrováním Rabby. Útočníci tak mohli data zachytit ve fázi, kdy je šifrování na zařízení ještě nechránilo.

U 37 rozšíření zobrazujících sportovní výsledky nebylo v dostupné analýze potvrzeno, že sama kradla údaje z kryptopeněženek. S ostatními doplňky je spojovaly překryvy ve kódu, infrastruktuře, způsobu publikování a historii verzí.

Čtyři škodlivé klastry a vzdálené ovládání

Socket aktivitu rozdělil do čtyř škodlivých klastrů. Ty nespoléhaly na jedinou přesnou kopii rozšíření, ale sdílely technické a provozní charakteristiky. Útočníkům to umožnilo kampaň rozprostřít mezi více značek kryptopeněženek a různých identit doplňků.

Významnou roli hrály také služby, které usnadňovaly změny v kampani a komplikovaly její kontrolu:

• Cloudflare Workers některé klastry využívaly jako kanály pro odčerpávání ukradených dat.
• Infrastruktura hostovaná v Supabase podporovala vzdáleně ovládaný phishingový obsah.
• Jiná rozšíření používala napevno zadané servery pro řízení a kontrolu útoku, kam odesílala přihlašovací údaje a data ze schránky.

Díky tomuto uspořádání nemusela být škodlivá funkce trvale aktivní v každé zveřejněné verzi doplňku. Phishingovou stránku bylo možné na dálku zapnout nebo vypnout bez vydání nové aktualizace. Při kontrole v obchodě s doplňky tak nemusela být zrovna aktivní a pozdější kontrola mohla dopadnout stejně.

Některé podepsané doplňky se změnily v malware

Jedním z výrazných signálů obcházení detekce bylo postupné přeúčelování starších verzí. Nejméně devět rozšíření začínalo jako aplikace se sportovními výsledky, ale pozdější aktualizace z nich udělaly malware zaměřený na kryptopeněženky.

Tato taktika může doplňku při prvním zveřejnění dodat méně podezřelou historii a časem také důvěru uživatelů. V tomto případě pomohly výzkumníkům propojit zdánlivě oddělené doplňky záznamy o podepisování Mozilly, překrývající se identity, společný kód i sdílená infrastruktura.

Záznamy o podepisování zároveň ukazují, že aktivita sahala nejméně do března 2026. Spolu s dalšími technickými shodami podporují závěr, že 77 identit tvořilo koordinovanou kampaň, nikoli soubor nesouvisejících škodlivých publikací.

Co by měli uživatelé Firefoxu udělat

Pokud jste si nainstalovali podezřelé rozšíření nebo do něj zadali citlivé údaje, jednejte, jako by tyto údaje unikly:

1. Rozšíření okamžitě odstraňte. Projděte všechna nainstalovaná rozšíření Firefoxu, nejen to, které ve vás vyvolalo podezření.
2. Převeďte kryptoměny do nově vytvořené peněženky s novou obnovovací frází. Ohroženou seed frázi ani soukromý klíč už nepoužívejte.
3. Změňte všechna hesla zadaná do doplňku, především heslo k e-mailu, kryptoměnovým burzám a dalším účtům, které by mohly sloužit k obnovení přístupu k aktivům. Zapněte vícefaktorové ověřování a podle možností zrušte aktivní relace nebo API klíče.
4. Sledujte peněženky a účty kvůli neoprávněným aktivitám.
5. Nahlaste rozšíření Mozille i legitimnímu poskytovateli peněženky, za kterého se vydávalo.

Obnovovací frázi, soukromý klíč ani importovaný keyring Rabby nepovažujte za bezpečné jen proto, že se zatím neobjevila žádná krádež. Kampaň byla navržena tak, aby získala data umožňující pozdější přístup k účtům nebo digitálním aktivům. Nápravu proto neodkládejte až na okamžik, kdy se objeví podezřelá transakce.

Co z kampaně plyne

Přítomnost v oficiálním katalogu ani platný podpis rozšíření samy o sobě nestačí jako důkaz důvěryhodnosti. Propojené doplňky kombinovaly falešné značky Web3, kopírovaný kód, přeúčelované podepsané verze, vzdáleně ovládané phishingové přepínače a společnou infrastrukturu. Tyto signály byly při společné analýze mnohem výmluvnější než při posuzování každého rozšíření zvlášť.

Dostupné důkazy podporují závěr o 77 propojených rozšířeních i zjištění o odčerpávání keyringů Rabby. Neumožňují však spolehlivě přiřadit každý ze čtyř klastrů ke konkrétní rodině doplňků ani určit osoby stojící za operací.