„Offside Wallet Theft Factory“: 40 schädliche Firefox-Add-ons im Visier

Das Threat-Research-Team von Socket hat eine koordinierte Firefox-Kampagne aufgedeckt, die es „Offside Wallet Theft Factory“ nennt. Die Ermittler verknüpften 77 Identitäten von Browser-Erweiterungen anhand von gemeinsam genutztem Code, Infrastruktur, Veröffentlichungsartefakten und Versionsverläufen. 40 Erweiterungen wurden als schädlich bestätigt: Sie zielten auf Geheimnisse und Zugangsdaten von Kryptowallets. Weitere 37 irreführende Sport-Score-Erweiterungen scheinen als Tarnung oder Aufbauversionen gedient zu haben.

Die Aktivitäten waren nach Einschätzung der Forscher mindestens seit März 2026 aktiv. Einer bekannten Cybercrime-Gruppe oder einem bestimmten Akteur wurde die Kampagne bislang nicht zugeordnet.

Welche Daten im Visier waren

Die schädlichen Add-ons gaben sich unter anderem als Web3-Produkte wie OKX, Rabby Wallet und TronLink aus. Im Fokus standen:

• Wiederherstellungsphrasen und private Schlüssel von Kryptowallets
• Wallet-Keyrings und andere serialisierte Wallet-Daten
• Zugangsdaten zu Konten
• Inhalte der Zwischenablage, darunter kopierte Wallet-Adressen oder Geheimnisse

Eine auf Rabby Wallet ausgerichtete Teilgruppe umfasste 13 Nachahmer, die serialisierte Wallet-Keyrings abgriffen, bevor Rabby sie normalerweise lokal verschlüsselte. Die Betreiber erhielten dadurch Zugriff auf die Daten zu einem Zeitpunkt, an dem die lokale Verschlüsselung sie noch nicht geschützt hätte.

Die 37 Sport-Score-Erweiterungen wurden in der vorliegenden Analyse nicht als Wallet-Stealer bestätigt. Ihre Verbindung zu den schädlichen Add-ons ergab sich aus Überschneidungen bei Code, Infrastruktur, Veröffentlichungsmustern und Versionshistorien.

Vier Cluster, geteilte Infrastruktur

Socket ordnete die schädlichen Aktivitäten vier Clustern zu. Diese Gruppen teilten technische und operative Merkmale, anstatt exakt dieselbe Erweiterung mehrfach zu veröffentlichen. So konnten die Betreiber die Kampagne auf verschiedene Wallet-Marken und zahlreiche Add-on-Identitäten verteilen.

Zum Einsatz kamen unter anderem Dienste, die eine schnelle Anpassung der Kampagne ermöglichten und die Analyse erschwerten:

• Cloudflare Workers dienten in einigen Clustern als Kanäle zur Übertragung gestohlener Daten.
• Über Supabase gehostete Infrastruktur unterstützte Phishing-Inhalte, die aus der Ferne gesteuert werden konnten.
• Andere Erweiterungen nutzten fest hinterlegte Command-and-Control-Server, um Zugangsdaten und Zwischenablageinhalte zu sammeln.

Dadurch musste das schädliche Verhalten nicht dauerhaft in jeder veröffentlichten Version sichtbar sein. Eine fernsteuerbare Phishing-Seite konnte aktiviert oder deaktiviert werden, ohne ein neues Add-on einzureichen. Das verringerte die Wahrscheinlichkeit, dass eine Prüfung oder eine spätere Momentaufnahme die aktive Schadfunktion erfasste.

Signierte Add-ons wurden später umfunktioniert

Ein besonders auffälliges Ausweichmanöver war die Wiederverwendung bereits veröffentlichter Erweiterungen. Mindestens neun Add-ons starteten als Sport-Score-Anwendungen und wurden später durch Updates in Wallet-Schadsoftware verwandelt.

So konnte eine Erweiterung zunächst eine unauffällige Veröffentlichungshistorie aufbauen und das Vertrauen von Nutzern gewinnen, bevor eine spätere Version ihr Verhalten änderte. Mozilla-Signaturdaten, gemeinsame Identitäten, überlappender Code und geteilte Infrastruktur halfen den Forschern, scheinbar getrennte Add-ons der größeren Operation zuzuordnen.

Die Signaturaufzeichnungen deuten außerdem darauf hin, dass die Aktivitäten mindestens bis März 2026 zurückreichen. Zusammen mit den Überschneidungen bei Code und Infrastruktur stützen sie die Einschätzung von Socket, dass es sich um eine koordinierte Kampagne und nicht um voneinander unabhängige schädliche Einreichungen handelte.

Was Firefox-Nutzer jetzt tun sollten

Wer eine verdächtige Erweiterung installiert oder sensible Informationen in ihr eingegeben hat, sollte so handeln, als seien diese Daten offengelegt worden:

1. Die Erweiterung sofort entfernen. Prüfen Sie alle installierten Firefox-Add-ons – nicht nur das, durch das der Verdacht entstanden ist.
2. Kryptowerte in ein neu erstelltes Wallet verschieben, das über eine neue Wiederherstellungsphrase verfügt. Eine offengelegte Seed-Phrase oder einen kompromittierten privaten Schlüssel dürfen Sie nicht erneut verwenden.
3. Alle in der Erweiterung eingegebenen Passwörter ändern, zunächst für E-Mail-, Börsen- und andere Konten, über die sich Vermögenswerte wiederherstellen lassen. Aktivieren Sie die Mehrfaktor-Authentifizierung und widerrufen Sie, sofern möglich, aktive Sitzungen oder API-Schlüssel.
4. Wallets und Konten auf unbefugte Aktivitäten überwachen.
5. Die Erweiterung an Mozilla und den nachgeahmten Wallet-Anbieter melden.

Eine Wiederherstellungsphrase, ein privater Schlüssel oder ein importierter Wallet-Keyring gilt nicht deshalb als sicher, weil bislang kein Diebstahl sichtbar ist. Die Kampagne war darauf ausgelegt, Daten zu sammeln, die auch später den Zugriff auf Konten oder Vermögenswerte ermöglichen könnten. Die Gegenmaßnahmen sollten daher erfolgen, bevor verdächtige Aktivitäten auffallen.

Die wichtigste Lehre

Die Kampagne zeigt, dass die Präsenz in einem Add-on-Marktplatz und eine gültige Browser-Signatur allein kein ausreichender Vertrauensbeweis sind. Die verknüpften Erweiterungen kombinierten gefälschte Web3-Marken, wiederverwendeten Code, umfunktionierte signierte Add-ons, fernsteuerbare Phishing-Schalter und gemeinsame Infrastruktur. Erst die gemeinsame Analyse dieser Signale machte die Verbindung deutlich; isoliert betrachtet wirkten einzelne Erweiterungen möglicherweise weniger auffällig.

Die vorliegenden Belege stützen klar die Einschätzung einer Kampagne mit 77 Erweiterungen sowie das beschriebene Abgreifen von Rabby-Keyrings. Sie reichen jedoch nicht aus, um jedes der vier Cluster zuverlässig einer bestimmten Erweiterungsfamilie zuzuordnen oder die Personen hinter der Operation zu identifizieren.