La campaña “Offside Wallet Theft Factory” vinculó 77 extensiones de Firefox

El equipo de investigación de amenazas de Socket descubrió una operación coordinada de complementos para Firefox a la que llamó “Offside Wallet Theft Factory”. La campaña conecta 77 identidades de extensiones mediante código reutilizado, infraestructura compartida, patrones de publicación y antecedentes de versiones. De ellas, 40 fueron confirmadas como maliciosas y dirigidas contra secretos o credenciales de monederos de criptomonedas, mientras que otras 37 extensiones engañosas de resultados deportivos parecen haber servido como cobertura o como versiones de preparación.

Los investigadores creen que la actividad estaba en marcha desde, al menos, marzo de 2026. Hasta ahora no la han atribuido a un grupo o actor de amenazas conocido.

Qué información buscaban

Los complementos maliciosos imitaban productos Web3 como OKX, Rabby Wallet y TronLink. Entre sus objetivos estaban:

• Frases de recuperación y claves privadas de criptomonedas.
• Keyrings de monederos y otros datos serializados.
• Credenciales de cuentas.
• Contenido del portapapeles, que puede incluir direcciones de monederos o secretos copiados.

Un subconjunto centrado en Rabby incluía 13 imitadores que extraían datos serializados del keyring antes del proceso normal de cifrado local de Rabby. De ese modo, los operadores podían acceder a la información antes de que el cifrado local la protegiera.

El análisis disponible no confirmó que las 37 extensiones de resultados deportivos robaran monederos. Su relación con los complementos maliciosos se estableció por las coincidencias de código, infraestructura, patrones de publicación e historial de versiones.

Cuatro grupos y una infraestructura flexible

Socket agrupó la actividad maliciosa en cuatro clústeres. Aunque no todos utilizaban exactamente el mismo diseño, compartían señales técnicas y operativas que permitían distribuir la campaña entre varias marcas de monederos y numerosas identidades de complementos.

La operación también recurrió a servicios que facilitaban los cambios y complicaban la inspección:

• Cloudflare Workers actuó en algunos clústeres como canal para extraer datos robados.
• La infraestructura alojada en Supabase permitió controlar contenido de phishing de forma remota.
• Otros complementos emplearon servidores de comando y control codificados directamente para recopilar credenciales y datos del portapapeles.

Esta combinación hacía innecesario mantener toda la conducta maliciosa dentro de cada versión publicada. Los operadores podían activar o desactivar una página de phishing controlada a distancia sin enviar una nueva actualización del complemento. Así reducían la posibilidad de que una revisión de la tienda capturara el comportamiento malicioso activo.

Complementos firmados que cambiaron de propósito

Una de las señales de evasión más relevantes fue la reutilización del historial de versiones. Al menos nueve extensiones comenzaron como aplicaciones de resultados deportivos y después se actualizaron para convertirse en malware contra monederos.

La estrategia puede hacer que un complemento parezca menos sospechoso al principio: primero construye un historial de publicación y gana confianza de los usuarios; más tarde, una nueva versión cambia su comportamiento. En este caso, los registros de firma de Mozilla, las identidades coincidentes, el código común y la infraestructura compartida ayudaron a los investigadores a relacionar extensiones que aparentaban ser independientes con una misma operación.

Los registros de firma también indican que la actividad se remonta, al menos, a marzo de 2026. Junto con el código y la infraestructura compartidos, respaldan la evaluación de Socket de que las 77 identidades formaban parte de una campaña coordinada y no de envíos maliciosos aislados.

Qué deben hacer los usuarios de Firefox

Si instalaste una de las extensiones sospechosas o introdujiste información sensible en ella, actúa como si esos datos hubieran quedado expuestos:

1. Elimina inmediatamente la extensión. Revisa todos los complementos instalados en Firefox, no solo el que despertó tus sospechas.
2. Traslada los activos de criptomonedas a un monedero recién creado, con una frase de recuperación nueva. No reutilices la frase semilla ni la clave privada expuestas.
3. Cambia las contraseñas introducidas en la extensión, empezando por el correo electrónico, los exchanges y cualquier otra cuenta que pueda utilizarse para recuperar activos. Activa la autenticación multifactor y revoca las sesiones activas o las claves API cuando sea posible.
4. Vigila los monederos y las cuentas para detectar actividad no autorizada.
5. Denuncia la extensión ante Mozilla y ante el proveedor legítimo del monedero al que imitaba.

Una frase de recuperación, una clave privada o un keyring importado no deben considerarse seguros solo porque todavía no haya aparecido un robo. La campaña estaba diseñada para recopilar datos que podrían permitir el acceso posterior a cuentas o activos, por lo que conviene actuar antes de que aparezca actividad sospechosa.

La lección para las tiendas de extensiones

La campaña demuestra que la presencia en una tienda oficial y una firma válida del navegador no bastan para garantizar que un complemento sea confiable. Los complementos relacionados combinaron marcas Web3 falsas, código reutilizado, extensiones firmadas con un propósito nuevo, interruptores remotos para activar phishing e infraestructura compartida. Esas señales resultaron mucho más reveladoras al analizarlas en conjunto que al examinar cada extensión por separado.

La evidencia disponible respalda claramente la evaluación de una campaña de 77 extensiones y el comportamiento de extracción de keyrings de Rabby. Sin embargo, no ofrece suficiente detalle para asignar de forma fiable cada uno de los cuatro clústeres a una familia concreta de extensiones ni para identificar a las personas detrás de la operación.