40 תוספי Firefox זדוניים התחזו לארנקי קריפטו במסגרת קמפיין גניבה מתוחכם

צוות מחקר האיומים של Socket חשף פעילות מתואמת של תוספי Firefox, שכונתה ״מפעל גניבת הארנקים Offside״. החוקרים קישרו לקמפיין 77 זהויות של תוספים באמצעות קוד משותף, תשתיות חוזרות, מאפייני פרסום והיסטוריית גרסאות. מתוך אלה, 40 תוספים אומתו כזדוניים ונועדו לגנוב סודות או פרטי התחברות של ארנקי מטבעות קריפטוגרפיים. 37 תוספים נוספים, שהציגו תוצאות ספורט, נראו ככיסוי או כגרסאות הכנה לפעילות.

לפי החוקרים, הפעילות הייתה קיימת לפחות מאז מרץ 2026. בשלב זה היא לא יוחסה לשחקן או לקבוצת תקיפה מוכרים.

אילו פרטים ניסו התוספים לגנוב?

התוספים הזדוניים התחזו למוצרי Web3, בהם OKX, Rabby Wallet ו-TronLink. המידע שנמצא בסיכון כלל:

• משפטי שחזור של ארנтовי קריפטו ומפתחות פרטיים
• keyrings של ארנקים ונתוני ארנק מסודרים בפורמט שניתן לייצא
• פרטי התחברות לחשבונות
• תוכן הלוח, שעשוי לכלול כתובות ארנק, סיסמאות או סודות שהועתקו

בתת-קמפיין שהתמקד ב-Rabby זוהו 13 תוספים מתחזים שהוציאו מהמחשב נתוני keyring מסודרים לפני תהליך ההצפנה המקומי הרגיל של Rabby. בכך נחשף המידע בנקודה שבה ההצפנה המקומית עדיין לא הייתה אמורה להגן עליו.

הניתוח הזמין לא אישר ש-37 תוספי תוצאות הספורט עצמם גנבו ארנקים. הקשר שלהם לתוספים הזדוניים התבסס על חפיפות בקוד, בתשתיות, בדפוסי הפרסום ובהיסטוריית הגרסאות.

ארבעה אשכולות ותשתית שניתנת לשינוי מרחוק

Socket חילקה את הפעילות לארבעה אשכולות זדוניים. האשכולות לא בהכרח השתמשו באותו עיצוב בדיוק, אך חלקו סימנים טכניים ותפעוליים שעזרו למפעילים להפיץ את הקמפיין תחת שמות של ארנקים וזהויות שונות בחנות התוספים.

בין רכיבי התשתית ששימשו את הקמפיין:

• Cloudflare Workers שימשו בחלק מהאשכולות כערוצים להעברת מידע גנוב.
• תשתית שהתארחה ב-Supabase שימשה לתוכן פישינג שניתן לשלוט בו מרחוק.
• תוספים אחרים התחברו לשרתי שליטה ובקרה שהוגדרו מראש, כדי לאסוף פרטי התחברות ונתונים מהלוח.

המשמעות היא שההתנהגות הזדונית לא הייתה חייבת להופיע באופן קבוע בכל גרסה שפורסמה. מפעילי הקמפיין יכלו להפעיל או להשבית דף פישינג מרחוק, בלי להגיש עדכון חדש לתוסף. כך קטן הסיכוי שבדיקת חנות או בדיקה אקראית של התוסף יתפסו את הפעילות בזמן.

תוספים חתומים שהפכו בהמשך לנוזקה

אחד מסימני ההתחמקות הבולטים היה שימוש מחדש בתוספים שכבר צברו היסטוריית פרסום. לפחות תשעה תוספים התחילו כאפליקציות לתוצאות ספורט, ובהמשך עודכנו כך שהפכו לנוזקות שתוקפות ארנקים.

הטקטיקה הזו מאפשרת לתוסף להיראות תמים יותר בעת הפרסום הראשוני, לבנות היסטוריה בחנות ולצבור אמון משתמשים — ורק לאחר מכן לשנות את ההתנהגות. במקרה הזה, רשומות החתימה של Mozilla, זהויות חופפות, קוד משותף ותשתיות חוזרות אפשרו לחוקרים לחבר תוספים שנראו נפרדים לחלקים של אותה פעילות רחבה.

רשומות החתימה מצביעות גם על פעילות שהחלה לפחות במרץ 2026. יחד עם הקוד והתשתית המשותפים, הן מחזקות את ההערכה שמדובר בקמפיין מתואם ולא באוסף של העלאות זדוניות שאינן קשורות זו לזו.

מה לעשות אם התקנתם תוסף חשוד?

אם התקנתם אחד מהתוספים החשודים או הזנתם בו מידע רגיש, פעלו כאילו המידע כבר נחשף:

1. הסירו את התוסף מיד. בדקו את כל תוספי Firefox המותקנים, ולא רק את התוסף שעורר חשד.
2. העבירו את נכסי הקריפטו לארנק חדש שנוצר עם משפט שחזור חדש. אל תשתמשו שוב במשפט שחזור או במפתח פרטי שנחשפו.
3. החליפו סיסמאות שהוזנו לתוסף, בראש ובראשונה סיסמאות של דואר אלקטרוני, בורסות ושירותים שיכולים לשמש לשחזור חשבונות. הפעילו אימות רב-שלבי ובטלו הפעלות פעילות או מפתחות API, אם האפשרות קיימת.
4. עקבו אחר הארנקים והחשבונות כדי לזהות פעילות לא מורשית.
5. דווחו על התוסף ל-Mozilla ולספק הארנק הלגיטימי שהתוסף התחזה אליו.

אין להניח שמשפט שחזור, מפתח פרטי או keyring שיובא לתוסף עדיין בטוחים רק מפני שטרם הופיעה גניבה. הקמפיין נועד לאסוף מידע שיכול לאפשר גישה מאוחרת יותר לחשבונות או לנכסים, ולכן חשוב לטפל בחשיפה לפני שמופיעה פעילות חשודה.

הלקח למשתמשי תוספי דפדפן

הקמפיין ממחיש מדוע הופעה בחנות תוספים רשמית או חתימה תקפה של תוסף אינן מספיקות כדי להוכיח שהוא אמין. התוספים שנקשרו לפעילות שילבו מיתוג Web3 מזויף, קוד ממוחזר, תוספים חתומים ששונו לאורך זמן, מתגי פישינג מרוחקים ותשתיות משותפות. כאשר בוחנים את הסימנים יחד, הם משמעותיים הרבה יותר מאשר כאשר בודקים כל תוסף בנפרד.

הראיות הזמינות תומכות בהערכת הקמפיין של 77 תוספים ובהתנהגות של גניבת keyrings מ-Rabby. עם זאת, אין בהן די פרטים כדי לשייך באופן אמין כל אחד מארבעת האשכולות למשפחת תוספים מסוימת או לזהות את האנשים שעומדים מאחורי הפעילות.