यह गतिविधि कम-से-कम मार्च 2026 से सक्रिय मानी जा रही है। शोधकर्ताओं ने अब तक इसे किसी ज्ञात हमलावर या समूह से नहीं जोड़ा है।

किन चीजों को निशाना बनाया गया?

दुर्भावनापूर्ण ऐड-ऑन Web3 उत्पादों, खासकर OKX, Rabby Wallet और TronLink, की नकल कर रहे थे। इनके निशाने पर ये संवेदनशील जानकारियां थीं:

• क्रिप्टोकरेंसी की रिकवरी फ्रेज और प्राइवेट की
• वॉलेट कीरिंग और अन्य सीरियलाइज़्ड वॉलेट डेटा
• अकाउंट लॉगिन क्रेडेंशियल
• क्लिपबोर्ड का डेटा, जिसमें कॉपी किए गए वॉलेट पते या सीक्रेट शामिल हो सकते हैं

Rabby Wallet को निशाना बनाने वाले एक समूह में 13 नकलची एक्सटेंशन शामिल थे। ये Rabby की सामान्य लोकल एन्क्रिप्शन प्रक्रिया शुरू होने से पहले ही सीरियलाइज़्ड वॉलेट-कीरिंग डेटा बाहर भेज देते थे। यानी डेटा को उस चरण पर हासिल किया जा रहा था, जब लोकल एन्क्रिप्शन उसे सुरक्षित नहीं कर पाया था।

उपलब्ध विश्लेषण में 37 स्पोर्ट्स-स्कोर एक्सटेंशन को सीधे वॉलेट चोर के रूप में पुष्ट नहीं किया गया। उनका संबंध साझा कोड, इंफ्रास्ट्रक्चर, प्रकाशन पैटर्न और एक्सटेंशन हिस्ट्री से सामने आया।

चार क्लस्टर और छिपा हुआ इंफ्रास्ट्रक्चर

Socket ने इस गतिविधि को चार दुर्भावनापूर्ण क्लस्टरों में बांटा। इन क्लस्टरों में एक जैसे तकनीकी और संचालन संबंधी संकेत मिले, हालांकि हर एक्सटेंशन का डिजाइन बिल्कुल समान नहीं था। इससे ऑपरेटर अलग-अलग वॉलेट ब्रांड और ऐड-ऑन पहचान के जरिए अभियान फैला सके।

अभियान में ऐसे ऑनलाइन इंफ्रास्ट्रक्चर का भी इस्तेमाल हुआ, जिसे जरूरत के अनुसार बदला और नियंत्रित किया जा सकता था:

• कुछ क्लस्टरों में चोरी किया गया डेटा बाहर भेजने के लिए Cloudflare Workers का उपयोग किया गया।
• Supabase पर होस्ट किया गया इंफ्रास्ट्रक्चर रिमोट तरीके से नियंत्रित फ़िशिंग कंटेंट उपलब्ध कराने में इस्तेमाल हुआ।
• कुछ अन्य एक्सटेंशन में हार्डकोडेड कमांड-एंड-कंट्रोल सर्वर थे, जो क्रेडेंशियल और क्लिपबोर्ड डेटा जुटाते थे।

इस डिजाइन का एक बड़ा फायदा हमलावरों को यह मिला कि हर प्रकाशित वर्जन में दुर्भावनापूर्ण व्यवहार को स्थायी रूप से सक्रिय रखना जरूरी नहीं था। रिमोट फ़िशिंग पेज को बिना नया ऐड-ऑन अपडेट भेजे चालू या बंद किया जा सकता था। इससे स्टोर रिव्यू या किसी एक समय किए गए निरीक्षण में सक्रिय खतरा पकड़ में न आने की संभावना बढ़ जाती थी।

साइन किए गए एक्सटेंशन को बाद में बदला गया

अभियान का एक अहम बचाव-तरीका वर्जन रिपर्पज़िंग था—यानी पहले से मौजूद और साइन किए गए एक्सटेंशन का बाद में नया, खतरनाक काम शुरू कर देना। कम-से-कम नौ एक्सटेंशन शुरुआत में स्पोर्ट्स-स्कोर ऐप थे, जिन्हें बाद के अपडेट में वॉलेट मैलवेयर में बदल दिया गया।

इस तरीके से एक्सटेंशन शुरुआती दौर में कम संदिग्ध दिख सकता है, उपयोगकर्ताओं का भरोसा बना सकता है और फिर किसी बाद की वर्जन में अपना व्यवहार बदल सकता है। Mozilla के साइनिंग रिकॉर्ड, साझा पहचान, समान कोड और एक जैसे इंफ्रास्ट्रक्चर ने शोधकर्ताओं को अलग दिखने वाले इन एक्सटेंशन को एक बड़े अभियान से जोड़ने में मदद की।

साइनिंग रिकॉर्ड से यह भी संकेत मिलता है कि गतिविधि कम-से-कम मार्च 2026 तक पीछे जाती है। साझा कोड और इंफ्रास्ट्रक्चर के साथ मिलकर ये रिकॉर्ड Socket के उस आकलन को समर्थन देते हैं कि 77 पहचानें अलग-अलग घटनाएं नहीं, बल्कि एक समन्वित अभियान थीं।

अगर आपने संदिग्ध एक्सटेंशन इस्तेमाल किया है

अगर आपने इनमें से कोई एक्सटेंशन इंस्टॉल किया था या उसमें संवेदनशील जानकारी दर्ज की थी, तो उस जानकारी को उजागर मानकर तुरंत कार्रवाई करें:

1. एक्सटेंशन तुरंत हटाएं। Firefox में इंस्टॉल किए गए सभी ऐड-ऑन की समीक्षा करें, केवल उसी एक्सटेंशन की नहीं जिसने शक पैदा किया है।
2. क्रिप्टो एसेट को नए वॉलेट में ट्रांसफर करें, जिसकी रिकवरी फ्रेज नई हो। उजागर सीड फ्रेज या प्राइवेट की का दोबारा इस्तेमाल न करें।
3. एक्सटेंशन में दर्ज किए गए पासवर्ड बदलें। शुरुआत ईमेल, क्रिप्टो एक्सचेंज और उन खातों से करें जिनका इस्तेमाल एसेट रिकवरी के लिए हो सकता है। जहां संभव हो, मल्टी-फैक्टर ऑथेंटिकेशन चालू करें और सक्रिय सेशन या API की रद्द करें।
4. वॉलेट और ऑनलाइन खातों पर नजर रखें और किसी भी अनधिकृत गतिविधि की जांच करें।
5. एक्सटेंशन की रिपोर्ट Mozilla और उस असली वॉलेट प्रदाता को करें, जिसकी उसने नकल की थी।

रिकवरी फ्रेज, प्राइवेट की या इंपोर्ट की गई वॉलेट कीरिंग को केवल इसलिए सुरक्षित न मानें कि अभी तक चोरी दिखाई नहीं दी है। यह अभियान ऐसी जानकारी जुटाने के लिए बनाया गया था, जिसका इस्तेमाल बाद में अकाउंट या डिजिटल एसेट तक पहुंच बनाने में हो सकता है। इसलिए संदिग्ध गतिविधि दिखने का इंतजार किए बिना सुरक्षा कदम उठाना जरूरी है।

Firefox उपयोगकर्ताओं के लिए बड़ा सबक

यह घटना दिखाती है कि आधिकारिक मार्केटप्लेस पर मौजूदगी या ब्राउज़र एक्सटेंशन का वैध डिजिटल सिग्नेचर, अपने-आप में भरोसे की गारंटी नहीं है। इस अभियान में नकली Web3 ब्रांडिंग, दोबारा इस्तेमाल किया गया कोड, पहले से साइन किए गए एक्सटेंशन का बदला हुआ उपयोग, रिमोट फ़िशिंग स्विच और साझा इंफ्रास्ट्रक्चर—इन सभी को मिलाकर इस्तेमाल किया गया। हर एक्सटेंशन को अलग-अलग देखने के बजाय इन संकेतों का समूह ज्यादा महत्वपूर्ण साबित हुआ।

उपलब्ध सबूत 77 एक्सटेंशन वाले अभियान और Rabby कीरिंग डेटा को एन्क्रिप्शन से पहले बाहर भेजने की गतिविधि का समर्थन करते हैं। हालांकि, उपलब्ध विवरण चारों क्लस्टरों को किसी खास एक्सटेंशन परिवार से विश्वसनीय रूप से जोड़ने या इसके पीछे मौजूद लोगों की पहचान करने के लिए पर्याप्त नहीं हैं।

यह गतिविधि कम-से-कम मार्च 2026 से सक्रिय मानी जा रही है। शोधकर्ताओं ने अब तक इसे किसी ज्ञात हमलावर या समूह से नहीं जोड़ा है।

किन चीजों को निशाना बनाया गया?

दुर्भावनापूर्ण ऐड-ऑन Web3 उत्पादों, खासकर OKX, Rabby Wallet और TronLink, की नकल कर रहे थे। इनके निशाने पर ये संवेदनशील जानकारियां थीं:

• क्रिप्टोकरेंसी की रिकवरी फ्रेज और प्राइवेट की
• वॉलेट कीरिंग और अन्य सीरियलाइज़्ड वॉलेट डेटा
• अकाउंट लॉगिन क्रेडेंशियल
• क्लिपबोर्ड का डेटा, जिसमें कॉपी किए गए वॉलेट पते या सीक्रेट शामिल हो सकते हैं

Rabby Wallet को निशाना बनाने वाले एक समूह में 13 नकलची एक्सटेंशन शामिल थे। ये Rabby की सामान्य लोकल एन्क्रिप्शन प्रक्रिया शुरू होने से पहले ही सीरियलाइज़्ड वॉलेट-कीरिंग डेटा बाहर भेज देते थे। यानी डेटा को उस चरण पर हासिल किया जा रहा था, जब लोकल एन्क्रिप्शन उसे सुरक्षित नहीं कर पाया था।

उपलब्ध विश्लेषण में 37 स्पोर्ट्स-स्कोर एक्सटेंशन को सीधे वॉलेट चोर के रूप में पुष्ट नहीं किया गया। उनका संबंध साझा कोड, इंफ्रास्ट्रक्चर, प्रकाशन पैटर्न और एक्सटेंशन हिस्ट्री से सामने आया।

चार क्लस्टर और छिपा हुआ इंफ्रास्ट्रक्चर

Socket ने इस गतिविधि को चार दुर्भावनापूर्ण क्लस्टरों में बांटा। इन क्लस्टरों में एक जैसे तकनीकी और संचालन संबंधी संकेत मिले, हालांकि हर एक्सटेंशन का डिजाइन बिल्कुल समान नहीं था। इससे ऑपरेटर अलग-अलग वॉलेट ब्रांड और ऐड-ऑन पहचान के जरिए अभियान फैला सके।

अभियान में ऐसे ऑनलाइन इंफ्रास्ट्रक्चर का भी इस्तेमाल हुआ, जिसे जरूरत के अनुसार बदला और नियंत्रित किया जा सकता था:

• कुछ क्लस्टरों में चोरी किया गया डेटा बाहर भेजने के लिए Cloudflare Workers का उपयोग किया गया।
• Supabase पर होस्ट किया गया इंफ्रास्ट्रक्चर रिमोट तरीके से नियंत्रित फ़िशिंग कंटेंट उपलब्ध कराने में इस्तेमाल हुआ।
• कुछ अन्य एक्सटेंशन में हार्डकोडेड कमांड-एंड-कंट्रोल सर्वर थे, जो क्रेडेंशियल और क्लिपबोर्ड डेटा जुटाते थे।

इस डिजाइन का एक बड़ा फायदा हमलावरों को यह मिला कि हर प्रकाशित वर्जन में दुर्भावनापूर्ण व्यवहार को स्थायी रूप से सक्रिय रखना जरूरी नहीं था। रिमोट फ़िशिंग पेज को बिना नया ऐड-ऑन अपडेट भेजे चालू या बंद किया जा सकता था। इससे स्टोर रिव्यू या किसी एक समय किए गए निरीक्षण में सक्रिय खतरा पकड़ में न आने की संभावना बढ़ जाती थी।

साइन किए गए एक्सटेंशन को बाद में बदला गया

अभियान का एक अहम बचाव-तरीका वर्जन रिपर्पज़िंग था—यानी पहले से मौजूद और साइन किए गए एक्सटेंशन का बाद में नया, खतरनाक काम शुरू कर देना। कम-से-कम नौ एक्सटेंशन शुरुआत में स्पोर्ट्स-स्कोर ऐप थे, जिन्हें बाद के अपडेट में वॉलेट मैलवेयर में बदल दिया गया।

इस तरीके से एक्सटेंशन शुरुआती दौर में कम संदिग्ध दिख सकता है, उपयोगकर्ताओं का भरोसा बना सकता है और फिर किसी बाद की वर्जन में अपना व्यवहार बदल सकता है। Mozilla के साइनिंग रिकॉर्ड, साझा पहचान, समान कोड और एक जैसे इंफ्रास्ट्रक्चर ने शोधकर्ताओं को अलग दिखने वाले इन एक्सटेंशन को एक बड़े अभियान से जोड़ने में मदद की।

साइनिंग रिकॉर्ड से यह भी संकेत मिलता है कि गतिविधि कम-से-कम मार्च 2026 तक पीछे जाती है। साझा कोड और इंफ्रास्ट्रक्चर के साथ मिलकर ये रिकॉर्ड Socket के उस आकलन को समर्थन देते हैं कि 77 पहचानें अलग-अलग घटनाएं नहीं, बल्कि एक समन्वित अभियान थीं।

अगर आपने संदिग्ध एक्सटेंशन इस्तेमाल किया है

अगर आपने इनमें से कोई एक्सटेंशन इंस्टॉल किया था या उसमें संवेदनशील जानकारी दर्ज की थी, तो उस जानकारी को उजागर मानकर तुरंत कार्रवाई करें:

1. एक्सटेंशन तुरंत हटाएं। Firefox में इंस्टॉल किए गए सभी ऐड-ऑन की समीक्षा करें, केवल उसी एक्सटेंशन की नहीं जिसने शक पैदा किया है।
2. क्रिप्टो एसेट को नए वॉलेट में ट्रांसफर करें, जिसकी रिकवरी फ्रेज नई हो। उजागर सीड फ्रेज या प्राइवेट की का दोबारा इस्तेमाल न करें।
3. एक्सटेंशन में दर्ज किए गए पासवर्ड बदलें। शुरुआत ईमेल, क्रिप्टो एक्सचेंज और उन खातों से करें जिनका इस्तेमाल एसेट रिकवरी के लिए हो सकता है। जहां संभव हो, मल्टी-फैक्टर ऑथेंटिकेशन चालू करें और सक्रिय सेशन या API की रद्द करें।
4. वॉलेट और ऑनलाइन खातों पर नजर रखें और किसी भी अनधिकृत गतिविधि की जांच करें।
5. एक्सटेंशन की रिपोर्ट Mozilla और उस असली वॉलेट प्रदाता को करें, जिसकी उसने नकल की थी।

रिकवरी फ्रेज, प्राइवेट की या इंपोर्ट की गई वॉलेट कीरिंग को केवल इसलिए सुरक्षित न मानें कि अभी तक चोरी दिखाई नहीं दी है। यह अभियान ऐसी जानकारी जुटाने के लिए बनाया गया था, जिसका इस्तेमाल बाद में अकाउंट या डिजिटल एसेट तक पहुंच बनाने में हो सकता है। इसलिए संदिग्ध गतिविधि दिखने का इंतजार किए बिना सुरक्षा कदम उठाना जरूरी है।

Firefox उपयोगकर्ताओं के लिए बड़ा सबक

यह घटना दिखाती है कि आधिकारिक मार्केटप्लेस पर मौजूदगी या ब्राउज़र एक्सटेंशन का वैध डिजिटल सिग्नेचर, अपने-आप में भरोसे की गारंटी नहीं है। इस अभियान में नकली Web3 ब्रांडिंग, दोबारा इस्तेमाल किया गया कोड, पहले से साइन किए गए एक्सटेंशन का बदला हुआ उपयोग, रिमोट फ़िशिंग स्विच और साझा इंफ्रास्ट्रक्चर—इन सभी को मिलाकर इस्तेमाल किया गया। हर एक्सटेंशन को अलग-अलग देखने के बजाय इन संकेतों का समूह ज्यादा महत्वपूर्ण साबित हुआ।

उपलब्ध सबूत 77 एक्सटेंशन वाले अभियान और Rabby कीरिंग डेटा को एन्क्रिप्शन से पहले बाहर भेजने की गतिविधि का समर्थन करते हैं। हालांकि, उपलब्ध विवरण चारों क्लस्टरों को किसी खास एक्सटेंशन परिवार से विश्वसनीय रूप से जोड़ने या इसके पीछे मौजूद लोगों की पहचान करने के लिए पर्याप्त नहीं हैं।