„Offside Wallet Theft Factory“: 40 schädliche Firefox-Add-ons im Visier
Socket verknüpfte 77 Firefox Erweiterungen mit der „Offside Wallet Theft Factory“: 40 wurden als schädliche Wallet oder Zugangsdaten Stealer bestätigt, 37 tarnten sich als Sport Score Add ons. Die Erweiterungen zielten auf Wiederherstellungsphrasen, private Schlüssel, serialisierte Rabby Keyrings, Passwörter und Zwi...
Veröffentlicht vonBearbeitet mit GPT-5.6 LunaBilder erstellt mit GPT Image 1.5
Socket verknüpfte 77 Firefox Erweiterungen mit der „Offside Wallet Theft Factory“: 40 wurden als schädliche Wallet oder Zugangsdaten Stealer bestätigt, 37 tarnten sich als Sport Score Add ons.
Die Erweiterungen zielten auf Wiederherstellungsphrasen, private Schlüssel, serialisierte Rabby Keyrings, Passwörter und Zwischenablageinhalte.
Wer eine Wiederherstellungsphrase, einen privaten Schlüssel, ein Passwort oder einen Wallet Keyring in einer verdächtigen Erweiterung eingegeben hat, sollte die Daten als kompromittiert behandeln, das Add on entfernen...
What did Socket’s Threat Research team uncover about the “Offside Wallet Theft Factory”—a coordinated campaign active since at least March 2The Offside Wallet Theft Factory used fake Web3 extensions and shared infrastructure to target Firefox users.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What did Socket’s Threat Research team uncover about the “Offside Wallet Theft Factory”—a coordinated campaign active since at least March 2. Article summary: Socket identified a coordinated Firefox add-on operation it calls the “Offside Wallet Theft Factory”: 77 linked extension identities, of which 40 were confirmed wallet-secret or credential stealers and 37 were deceptive . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com
Das Threat-Research-Team von Socket hat eine koordinierte Firefox-Kampagne aufgedeckt, die es „Offside Wallet Theft Factory“ nennt. Die Ermittler verknüpften 77 Identitäten von Browser-Erweiterungen anhand von gemeinsam genutztem Code, Infrastruktur, Veröffentlichungsartefakten und Versionsverläufen. 40 Erweiterungen wurden als schädlich bestätigt: Sie zielten auf Geheimnisse und Zugangsdaten von Kryptowallets. Weitere 37 irreführende Sport-Score-Erweiterungen scheinen als Tarnung oder Aufbauversionen gedient zu haben.
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „„Offside Wallet Theft Factory“: 40 schädliche Firefox-Add-ons im Visier“?
Socket verknüpfte 77 Firefox Erweiterungen mit der „Offside Wallet Theft Factory“: 40 wurden als schädliche Wallet oder Zugangsdaten Stealer bestätigt, 37 tarnten sich als Sport Score Add ons.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Socket verknüpfte 77 Firefox Erweiterungen mit der „Offside Wallet Theft Factory“: 40 wurden als schädliche Wallet oder Zugangsdaten Stealer bestätigt, 37 tarnten sich als Sport Score Add ons. Die Erweiterungen zielten auf Wiederherstellungsphrasen, private Schlüssel, serialisierte Rabby Keyrings, Passwörter und Zwischenablageinhalte.
Was soll ich als nächstes in der Praxis tun?
Wer eine Wiederherstellungsphrase, einen privaten Schlüssel, ein Passwort oder einen Wallet Keyring in einer verdächtigen Erweiterung eingegeben hat, sollte die Daten als kompromittiert behandeln, das Add on entfernen...
„Offside Wallet Theft Factory“: 40 schädliche Firefox-Add-ons im Visier
Socket verknüpfte 77 Firefox Erweiterungen mit der „Offside Wallet Theft Factory“: 40 wurden als schädliche Wallet oder Zugangsdaten Stealer bestätigt, 37 tarnten sich als Sport Score Add ons. Die Erweiterungen zielten auf Wiederherstellungsphrasen, private Schlüssel, serialisierte Rabby Keyrings, Passwörter und Zwi...
Veröffentlicht vonBearbeitet mit GPT-5.6 LunaBilder erstellt mit GPT Image 1.5
Socket verknüpfte 77 Firefox Erweiterungen mit der „Offside Wallet Theft Factory“: 40 wurden als schädliche Wallet oder Zugangsdaten Stealer bestätigt, 37 tarnten sich als Sport Score Add ons.
Die Erweiterungen zielten auf Wiederherstellungsphrasen, private Schlüssel, serialisierte Rabby Keyrings, Passwörter und Zwischenablageinhalte.
Wer eine Wiederherstellungsphrase, einen privaten Schlüssel, ein Passwort oder einen Wallet Keyring in einer verdächtigen Erweiterung eingegeben hat, sollte die Daten als kompromittiert behandeln, das Add on entfernen...
What did Socket’s Threat Research team uncover about the “Offside Wallet Theft Factory”—a coordinated campaign active since at least March 2The Offside Wallet Theft Factory used fake Web3 extensions and shared infrastructure to target Firefox users.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What did Socket’s Threat Research team uncover about the “Offside Wallet Theft Factory”—a coordinated campaign active since at least March 2. Article summary: Socket identified a coordinated Firefox add-on operation it calls the “Offside Wallet Theft Factory”: 77 linked extension identities, of which 40 were confirmed wallet-secret or credential stealers and 37 were deceptive . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com
Das Threat-Research-Team von Socket hat eine koordinierte Firefox-Kampagne aufgedeckt, die es „Offside Wallet Theft Factory“ nennt. Die Ermittler verknüpften 77 Identitäten von Browser-Erweiterungen anhand von gemeinsam genutztem Code, Infrastruktur, Veröffentlichungsartefakten und Versionsverläufen. 40 Erweiterungen wurden als schädlich bestätigt: Sie zielten auf Geheimnisse und Zugangsdaten von Kryptowallets. Weitere 37 irreführende Sport-Score-Erweiterungen scheinen als Tarnung oder Aufbauversionen gedient zu haben.
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „„Offside Wallet Theft Factory“: 40 schädliche Firefox-Add-ons im Visier“?
Socket verknüpfte 77 Firefox Erweiterungen mit der „Offside Wallet Theft Factory“: 40 wurden als schädliche Wallet oder Zugangsdaten Stealer bestätigt, 37 tarnten sich als Sport Score Add ons.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Socket verknüpfte 77 Firefox Erweiterungen mit der „Offside Wallet Theft Factory“: 40 wurden als schädliche Wallet oder Zugangsdaten Stealer bestätigt, 37 tarnten sich als Sport Score Add ons. Die Erweiterungen zielten auf Wiederherstellungsphrasen, private Schlüssel, serialisierte Rabby Keyrings, Passwörter und Zwischenablageinhalte.
Was soll ich als nächstes in der Praxis tun?
Wer eine Wiederherstellungsphrase, einen privaten Schlüssel, ein Passwort oder einen Wallet Keyring in einer verdächtigen Erweiterung eingegeben hat, sollte die Daten als kompromittiert behandeln, das Add on entfernen...
Die Aktivitäten waren nach Einschätzung der Forscher mindestens seit März 2026 aktiv. Einer bekannten Cybercrime-Gruppe oder einem bestimmten Akteur wurde die Kampagne bislang nicht zugeordnet.
Welche Daten im Visier waren
Die schädlichen Add-ons gaben sich unter anderem als Web3-Produkte wie OKX, Rabby Wallet und TronLink aus. Im Fokus standen:
Wiederherstellungsphrasen und private Schlüssel von Kryptowallets
Wallet-Keyrings und andere serialisierte Wallet-Daten
Zugangsdaten zu Konten
Inhalte der Zwischenablage, darunter kopierte Wallet-Adressen oder Geheimnisse
Eine auf Rabby Wallet ausgerichtete Teilgruppe umfasste 13 Nachahmer, die serialisierte Wallet-Keyrings abgriffen, bevor Rabby sie normalerweise lokal verschlüsselte. Die Betreiber erhielten dadurch Zugriff auf die Daten zu einem Zeitpunkt, an dem die lokale Verschlüsselung sie noch nicht geschützt hätte.
Die 37 Sport-Score-Erweiterungen wurden in der vorliegenden Analyse nicht als Wallet-Stealer bestätigt. Ihre Verbindung zu den schädlichen Add-ons ergab sich aus Überschneidungen bei Code, Infrastruktur, Veröffentlichungsmustern und Versionshistorien.
Vier Cluster, geteilte Infrastruktur
Socket ordnete die schädlichen Aktivitäten vier Clustern zu. Diese Gruppen teilten technische und operative Merkmale, anstatt exakt dieselbe Erweiterung mehrfach zu veröffentlichen. So konnten die Betreiber die Kampagne auf verschiedene Wallet-Marken und zahlreiche Add-on-Identitäten verteilen.
Zum Einsatz kamen unter anderem Dienste, die eine schnelle Anpassung der Kampagne ermöglichten und die Analyse erschwerten:
Cloudflare Workers dienten in einigen Clustern als Kanäle zur Übertragung gestohlener Daten.
Über Supabase gehostete Infrastruktur unterstützte Phishing-Inhalte, die aus der Ferne gesteuert werden konnten.
Andere Erweiterungen nutzten fest hinterlegte Command-and-Control-Server, um Zugangsdaten und Zwischenablageinhalte zu sammeln.
Dadurch musste das schädliche Verhalten nicht dauerhaft in jeder veröffentlichten Version sichtbar sein. Eine fernsteuerbare Phishing-Seite konnte aktiviert oder deaktiviert werden, ohne ein neues Add-on einzureichen. Das verringerte die Wahrscheinlichkeit, dass eine Prüfung oder eine spätere Momentaufnahme die aktive Schadfunktion erfasste.
Signierte Add-ons wurden später umfunktioniert
Ein besonders auffälliges Ausweichmanöver war die Wiederverwendung bereits veröffentlichter Erweiterungen. Mindestens neun Add-ons starteten als Sport-Score-Anwendungen und wurden später durch Updates in Wallet-Schadsoftware verwandelt.
So konnte eine Erweiterung zunächst eine unauffällige Veröffentlichungshistorie aufbauen und das Vertrauen von Nutzern gewinnen, bevor eine spätere Version ihr Verhalten änderte. Mozilla-Signaturdaten, gemeinsame Identitäten, überlappender Code und geteilte Infrastruktur halfen den Forschern, scheinbar getrennte Add-ons der größeren Operation zuzuordnen.
Die Signaturaufzeichnungen deuten außerdem darauf hin, dass die Aktivitäten mindestens bis März 2026 zurückreichen. Zusammen mit den Überschneidungen bei Code und Infrastruktur stützen sie die Einschätzung von Socket, dass es sich um eine koordinierte Kampagne und nicht um voneinander unabhängige schädliche Einreichungen handelte.
Was Firefox-Nutzer jetzt tun sollten
Wer eine verdächtige Erweiterung installiert oder sensible Informationen in ihr eingegeben hat, sollte so handeln, als seien diese Daten offengelegt worden:
Die Erweiterung sofort entfernen. Prüfen Sie alle installierten Firefox-Add-ons – nicht nur das, durch das der Verdacht entstanden ist.
Kryptowerte in ein neu erstelltes Wallet verschieben, das über eine neue Wiederherstellungsphrase verfügt. Eine offengelegte Seed-Phrase oder einen kompromittierten privaten Schlüssel dürfen Sie nicht erneut verwenden.
Alle in der Erweiterung eingegebenen Passwörter ändern, zunächst für E-Mail-, Börsen- und andere Konten, über die sich Vermögenswerte wiederherstellen lassen. Aktivieren Sie die Mehrfaktor-Authentifizierung und widerrufen Sie, sofern möglich, aktive Sitzungen oder API-Schlüssel.
Wallets und Konten auf unbefugte Aktivitäten überwachen.
Die Erweiterung an Mozilla und den nachgeahmten Wallet-Anbieter melden.
Eine Wiederherstellungsphrase, ein privater Schlüssel oder ein importierter Wallet-Keyring gilt nicht deshalb als sicher, weil bislang kein Diebstahl sichtbar ist. Die Kampagne war darauf ausgelegt, Daten zu sammeln, die auch später den Zugriff auf Konten oder Vermögenswerte ermöglichen könnten. Die Gegenmaßnahmen sollten daher erfolgen, bevor verdächtige Aktivitäten auffallen.
Die wichtigste Lehre
Die Kampagne zeigt, dass die Präsenz in einem Add-on-Marktplatz und eine gültige Browser-Signatur allein kein ausreichender Vertrauensbeweis sind. Die verknüpften Erweiterungen kombinierten gefälschte Web3-Marken, wiederverwendeten Code, umfunktionierte signierte Add-ons, fernsteuerbare Phishing-Schalter und gemeinsame Infrastruktur. Erst die gemeinsame Analyse dieser Signale machte die Verbindung deutlich; isoliert betrachtet wirkten einzelne Erweiterungen möglicherweise weniger auffällig.
Die vorliegenden Belege stützen klar die Einschätzung einer Kampagne mit 77 Erweiterungen sowie das beschriebene Abgreifen von Rabby-Keyrings. Sie reichen jedoch nicht aus, um jedes der vier Cluster zuverlässig einer bestimmten Erweiterungsfamilie zuzuordnen oder die Personen hinter der Operation zu identifizieren.
Die Aktivitäten waren nach Einschätzung der Forscher mindestens seit März 2026 aktiv. Einer bekannten Cybercrime-Gruppe oder einem bestimmten Akteur wurde die Kampagne bislang nicht zugeordnet.
Welche Daten im Visier waren
Die schädlichen Add-ons gaben sich unter anderem als Web3-Produkte wie OKX, Rabby Wallet und TronLink aus. Im Fokus standen:
Wiederherstellungsphrasen und private Schlüssel von Kryptowallets
Wallet-Keyrings und andere serialisierte Wallet-Daten
Zugangsdaten zu Konten
Inhalte der Zwischenablage, darunter kopierte Wallet-Adressen oder Geheimnisse
Eine auf Rabby Wallet ausgerichtete Teilgruppe umfasste 13 Nachahmer, die serialisierte Wallet-Keyrings abgriffen, bevor Rabby sie normalerweise lokal verschlüsselte. Die Betreiber erhielten dadurch Zugriff auf die Daten zu einem Zeitpunkt, an dem die lokale Verschlüsselung sie noch nicht geschützt hätte.
Die 37 Sport-Score-Erweiterungen wurden in der vorliegenden Analyse nicht als Wallet-Stealer bestätigt. Ihre Verbindung zu den schädlichen Add-ons ergab sich aus Überschneidungen bei Code, Infrastruktur, Veröffentlichungsmustern und Versionshistorien.
Vier Cluster, geteilte Infrastruktur
Socket ordnete die schädlichen Aktivitäten vier Clustern zu. Diese Gruppen teilten technische und operative Merkmale, anstatt exakt dieselbe Erweiterung mehrfach zu veröffentlichen. So konnten die Betreiber die Kampagne auf verschiedene Wallet-Marken und zahlreiche Add-on-Identitäten verteilen.
Zum Einsatz kamen unter anderem Dienste, die eine schnelle Anpassung der Kampagne ermöglichten und die Analyse erschwerten:
Cloudflare Workers dienten in einigen Clustern als Kanäle zur Übertragung gestohlener Daten.
Über Supabase gehostete Infrastruktur unterstützte Phishing-Inhalte, die aus der Ferne gesteuert werden konnten.
Andere Erweiterungen nutzten fest hinterlegte Command-and-Control-Server, um Zugangsdaten und Zwischenablageinhalte zu sammeln.
Dadurch musste das schädliche Verhalten nicht dauerhaft in jeder veröffentlichten Version sichtbar sein. Eine fernsteuerbare Phishing-Seite konnte aktiviert oder deaktiviert werden, ohne ein neues Add-on einzureichen. Das verringerte die Wahrscheinlichkeit, dass eine Prüfung oder eine spätere Momentaufnahme die aktive Schadfunktion erfasste.
Signierte Add-ons wurden später umfunktioniert
Ein besonders auffälliges Ausweichmanöver war die Wiederverwendung bereits veröffentlichter Erweiterungen. Mindestens neun Add-ons starteten als Sport-Score-Anwendungen und wurden später durch Updates in Wallet-Schadsoftware verwandelt.
So konnte eine Erweiterung zunächst eine unauffällige Veröffentlichungshistorie aufbauen und das Vertrauen von Nutzern gewinnen, bevor eine spätere Version ihr Verhalten änderte. Mozilla-Signaturdaten, gemeinsame Identitäten, überlappender Code und geteilte Infrastruktur halfen den Forschern, scheinbar getrennte Add-ons der größeren Operation zuzuordnen.
Die Signaturaufzeichnungen deuten außerdem darauf hin, dass die Aktivitäten mindestens bis März 2026 zurückreichen. Zusammen mit den Überschneidungen bei Code und Infrastruktur stützen sie die Einschätzung von Socket, dass es sich um eine koordinierte Kampagne und nicht um voneinander unabhängige schädliche Einreichungen handelte.
Was Firefox-Nutzer jetzt tun sollten
Wer eine verdächtige Erweiterung installiert oder sensible Informationen in ihr eingegeben hat, sollte so handeln, als seien diese Daten offengelegt worden:
Die Erweiterung sofort entfernen. Prüfen Sie alle installierten Firefox-Add-ons – nicht nur das, durch das der Verdacht entstanden ist.
Kryptowerte in ein neu erstelltes Wallet verschieben, das über eine neue Wiederherstellungsphrase verfügt. Eine offengelegte Seed-Phrase oder einen kompromittierten privaten Schlüssel dürfen Sie nicht erneut verwenden.
Alle in der Erweiterung eingegebenen Passwörter ändern, zunächst für E-Mail-, Börsen- und andere Konten, über die sich Vermögenswerte wiederherstellen lassen. Aktivieren Sie die Mehrfaktor-Authentifizierung und widerrufen Sie, sofern möglich, aktive Sitzungen oder API-Schlüssel.
Wallets und Konten auf unbefugte Aktivitäten überwachen.
Die Erweiterung an Mozilla und den nachgeahmten Wallet-Anbieter melden.
Eine Wiederherstellungsphrase, ein privater Schlüssel oder ein importierter Wallet-Keyring gilt nicht deshalb als sicher, weil bislang kein Diebstahl sichtbar ist. Die Kampagne war darauf ausgelegt, Daten zu sammeln, die auch später den Zugriff auf Konten oder Vermögenswerte ermöglichen könnten. Die Gegenmaßnahmen sollten daher erfolgen, bevor verdächtige Aktivitäten auffallen.
Die wichtigste Lehre
Die Kampagne zeigt, dass die Präsenz in einem Add-on-Marktplatz und eine gültige Browser-Signatur allein kein ausreichender Vertrauensbeweis sind. Die verknüpften Erweiterungen kombinierten gefälschte Web3-Marken, wiederverwendeten Code, umfunktionierte signierte Add-ons, fernsteuerbare Phishing-Schalter und gemeinsame Infrastruktur. Erst die gemeinsame Analyse dieser Signale machte die Verbindung deutlich; isoliert betrachtet wirkten einzelne Erweiterungen möglicherweise weniger auffällig.
Die vorliegenden Belege stützen klar die Einschätzung einer Kampagne mit 77 Erweiterungen sowie das beschriebene Abgreifen von Rabby-Keyrings. Sie reichen jedoch nicht aus, um jedes der vier Cluster zuverlässig einer bestimmten Erweiterungsfamilie zuzuordnen oder die Personen hinter der Operation zu identifizieren.
thehackernews.com40 Malicious Firefox Extensions Pose as Web3 Products to ...
socket.dev77 Firefox Extensions Linked to Crypto Wallet and Credential Theft
daily.dev77 Firefox Extensions Linked to Crypto Wallet and...
cybersecuritynews.com15 Malicious Firefox Extensions Abuse Cloudflare Workers to Exfiltrate Crypto Wallet Secrets