40 Ekstensi Firefox Berbahaya Menyamar sebagai Dompet Kripto

Tim Threat Research dari Socket mengungkap operasi terkoordinasi pada add-on Firefox yang mereka sebut “Offside Wallet Theft Factory.” Operasi ini menghubungkan 77 identitas ekstensi melalui penggunaan kode, infrastruktur, artefak publikasi, dan riwayat versi yang saling tumpang tindih. Dari jumlah tersebut, 40 ekstensi terkonfirmasi berbahaya dan menargetkan rahasia atau kredensial dompet kripto, sedangkan 37 ekstensi skor olahraga diduga digunakan sebagai kedok atau versi persiapan.

Aktivitas tersebut diyakini telah berlangsung setidaknya sejak Maret 2026. Peneliti belum mengaitkannya dengan pelaku atau kelompok ancaman yang telah dikenal.

Data apa yang menjadi sasaran?

Ekstensi berbahaya itu menyamar sebagai produk Web3, termasuk OKX, Rabby Wallet, dan TronLink. Data yang diburu meliputi:

• Recovery phrase atau frasa pemulihan dompet
• Private key
• Keyring dompet dan data dompet terserialisasi lainnya
• Kredensial akun
• Isi clipboard, yang bisa berisi alamat dompet atau rahasia lain yang baru saja disalin

Salah satu kelompok yang berfokus pada Rabby mencakup 13 ekstensi peniru. Ekstensi tersebut mengambil data keyring dompet yang sudah diserialisasi sebelum proses enkripsi lokal normal milik Rabby berlangsung. Dengan begitu, operator memperoleh data pada tahap ketika enkripsi lokal belum melindunginya.

Sebanyak 37 ekstensi skor olahraga belum dikonfirmasi sebagai pencuri dompet berdasarkan analisis yang tersedia. Keterkaitannya dengan add-on berbahaya ditentukan dari kemiripan kode, infrastruktur, pola publikasi, dan riwayat versi.

Empat klaster dengan teknik yang saling terhubung

Socket mengelompokkan aktivitas ini ke dalam empat klaster berbahaya. Klaster-klaster tersebut memiliki sinyal teknis dan operasional yang sama, meski tidak selalu menggunakan desain ekstensi yang identik. Pola itu membantu operator menyebarkan operasi melalui berbagai merek dompet dan identitas add-on.

Beberapa layanan yang digunakan membuat operasi lebih mudah diubah sekaligus lebih sulit diperiksa:

• Cloudflare Workers digunakan oleh sejumlah klaster sebagai jalur untuk mengirim keluar data curian.
• Infrastruktur yang di-hosting di Supabase mendukung konten phishing yang dapat dikendalikan dari jarak jauh.
• Ekstensi lain menggunakan server command-and-control yang ditanam langsung untuk mengumpulkan kredensial dan data clipboard.

Dengan rancangan tersebut, perilaku berbahaya tidak harus selalu tertanam secara permanen dalam setiap versi ekstensi. Halaman phishing yang dikendalikan dari jarak jauh dapat diaktifkan atau dinonaktifkan tanpa menerbitkan pembaruan add-on baru. Teknik ini berpotensi mengurangi peluang perilaku aktif tertangkap saat pemeriksaan toko atau inspeksi berikutnya.

Ekstensi yang sudah ditandatangani kemudian diubah

Salah satu sinyal pengelakan yang penting adalah penggunaan ulang versi ekstensi. Setidaknya sembilan ekstensi awalnya berfungsi sebagai aplikasi skor olahraga, lalu diperbarui menjadi malware dompet.

Strategi ini dapat membuat add-on tampak tidak mencurigakan ketika pertama kali diterbitkan. Ekstensi bisa lebih dulu membangun riwayat publikasi dan kepercayaan pengguna, sebelum versi berikutnya mengubah perilakunya.

Dalam kasus ini, catatan penandatanganan Mozilla, identitas yang tumpang tindih, kode yang sama, dan infrastruktur bersama membantu peneliti menghubungkan ekstensi-ekstensi yang tampak terpisah ke satu operasi yang lebih luas.

Catatan penandatanganan tersebut juga menunjukkan bahwa aktivitas telah berlangsung setidaknya sejak Maret 2026. Jika digabungkan dengan bukti kode dan infrastruktur bersama, temuan itu mendukung penilaian Socket bahwa 77 identitas tersebut merupakan kampanye terkoordinasi, bukan sekumpulan kiriman berbahaya yang tidak saling berkaitan.

Apa yang harus dilakukan pengguna Firefox?

Jika Anda pernah memasang salah satu ekstensi mencurigakan atau memasukkan informasi sensitif ke dalamnya, bertindaklah seolah-olah informasi tersebut sudah bocor:

1. Hapus ekstensi segera. Periksa seluruh add-on Firefox yang terpasang, bukan hanya ekstensi yang pertama kali menimbulkan kecurigaan.
2. Pindahkan aset kripto ke dompet baru dengan recovery phrase yang benar-benar baru. Jangan gunakan kembali seed phrase atau private key yang mungkin telah terekspos.
3. Ganti semua kata sandi yang pernah dimasukkan ke ekstensi, terutama kata sandi email, bursa kripto, dan akun lain yang dapat digunakan untuk memulihkan akses ke aset. Aktifkan autentikasi multifaktor, lalu cabut sesi aktif atau kunci API jika tersedia.
4. Pantau dompet dan akun untuk mendeteksi aktivitas tanpa izin.
5. Laporkan ekstensi tersebut kepada Mozilla dan penyedia dompet resmi yang ditirunya.

Recovery phrase, private key, atau keyring dompet yang pernah diimpor tidak boleh dianggap aman hanya karena belum terlihat adanya pencurian. Operasi ini dirancang untuk mengumpulkan data yang dapat dipakai untuk mengakses akun atau aset di kemudian hari. Karena itu, langkah pemulihan sebaiknya dilakukan sebelum aktivitas mencurigakan muncul.

Pelajaran penting bagi pengguna

Kehadiran sebuah add-on di marketplace resmi dan tanda tangan digital browser tidak cukup untuk membuktikan bahwa ekstensi tersebut aman. Kampanye ini menggabungkan branding Web3 palsu, kode yang digunakan ulang, ekstensi bertanda tangan yang dialihfungsikan, sakelar phishing jarak jauh, dan infrastruktur bersama.

Sinyal-sinyal tersebut menjadi jauh lebih bermakna ketika dianalisis secara bersamaan, bukan saat setiap ekstensi diperiksa secara terpisah.

Bukti yang tersedia mendukung penilaian mengenai kampanye 77 ekstensi serta perilaku pencurian keyring Rabby. Namun, informasi yang ada belum cukup untuk memetakan setiap dari empat klaster ke keluarga ekstensi tertentu secara andal atau mengidentifikasi orang di balik operasi tersebut.