Secondo i ricercatori, l’attività era in corso almeno da marzo 2026. Al momento non è stata attribuita a un attore o a un gruppo noto.

I dati presi di mira

Le estensioni malevole imitavano prodotti Web3 come OKX, Rabby Wallet e TronLink. Tra le informazioni cercate c’erano:

• frasi di recupero e chiavi private delle criptovalute;
• keyring dei wallet e altri dati serializzati;
• credenziali degli account;
• contenuti degli appunti, che possono includere indirizzi di wallet o segreti copiati dall’utente.

Un sottoinsieme di 13 estensioni che imitavano Rabby esfiltrava i dati serializzati del keyring prima del normale processo di cifratura locale di Rabby. In questo modo gli operatori potevano ottenere le informazioni quando la protezione della cifratura non era ancora stata applicata.

L’analisi disponibile non ha confermato che le 37 estensioni dedicate ai risultati sportivi fossero ladre di wallet. Il loro collegamento con gli add-on malevoli deriva invece da codice, infrastrutture, modalità di pubblicazione e cronologie delle versioni sovrapposti.

Quattro cluster e infrastrutture controllate da remoto

Socket ha raggruppato l’attività in quattro cluster malevoli. I gruppi condividevano segnali tecnici e operativi, senza necessariamente usare un’unica struttura identica per ogni estensione. Questo avrebbe permesso agli operatori di distribuire l’operazione tra diversi marchi di wallet e molteplici identità nel marketplace.

Gli add-on utilizzavano inoltre servizi che rendevano l’operazione più flessibile e difficile da analizzare:

• in alcuni cluster, i Cloudflare Workers funzionavano come canali per l’esfiltrazione dei dati rubati;
• infrastrutture ospitate su Supabase supportavano contenuti di phishing controllati da remoto;
• altre estensioni si collegavano a server di comando e controllo codificati direttamente nel software per raccogliere credenziali e dati dagli appunti.

Questa architettura consentiva di non incorporare necessariamente il comportamento malevolo in modo permanente in ogni versione pubblicata. Una pagina di phishing controllata da remoto poteva essere attivata o disattivata senza inviare un nuovo aggiornamento dell’add-on. Così diventava meno probabile che una revisione del marketplace o un controllo successivo cogliesse l’attività nel momento in cui era attiva.

Estensioni firmate e poi trasformate in malware

Uno degli elementi più rilevanti sul fronte dell’elusione era il riutilizzo della cronologia delle versioni. Almeno nove estensioni erano nate come applicazioni per i risultati sportivi e sono state poi aggiornate fino a diventare malware per wallet.

La strategia può far apparire un’estensione meno sospetta al momento della pubblicazione: un add-on può costruirsi una cronologia apparentemente legittima e accumulare fiducia prima che una versione successiva ne modifichi il comportamento. In questo caso, i registri delle firme Mozilla, le identità sovrapposte, il codice comune e l’infrastruttura condivisa hanno aiutato i ricercatori a ricondurre estensioni che sembravano separate a un’unica operazione più ampia.

I registri di firma indicano inoltre che l’attività risale almeno a marzo 2026. Insieme agli altri elementi tecnici, sostengono la valutazione di Socket secondo cui le 77 identità facevano parte di una campagna coordinata, e non di invii malevoli indipendenti.

Cosa devono fare gli utenti di Firefox

Se hai installato una delle estensioni sospette o vi hai inserito informazioni sensibili, comportati come se quei dati fossero già esposti:

1. Rimuovi subito l’estensione. Controlla tutti gli add-on installati in Firefox, non soltanto quello che ha fatto scattare l’allarme.
2. Sposta gli asset crypto in un wallet appena creato, con una nuova frase di recupero. Non riutilizzare una seed phrase o una chiave privata esposta.
3. Cambia le password inserite nell’estensione, iniziando da email, exchange e altri account che potrebbero essere usati per recuperare gli asset. Attiva l’autenticazione a più fattori e revoca, quando possibile, sessioni attive e chiavi API.
4. Monitora wallet e account per individuare attività non autorizzate.
5. Segnala l’estensione a Mozilla e al legittimo provider del wallet che veniva imitato.

Una frase di recupero, una chiave privata o un keyring importato non devono essere considerati al sicuro soltanto perché non è ancora comparso un furto. La campagna era progettata per raccogliere dati che potrebbero consentire in seguito l’accesso agli account o agli asset: intervenire prima che compaiano movimenti sospetti è quindi essenziale.

La lezione per la sicurezza dei browser

La campagna dimostra che la presenza in un marketplace ufficiale e una firma valida dell’estensione non bastano, da sole, a garantire l’affidabilità di un add-on. Gli strumenti collegati combinavano marchi Web3 contraffatti, codice riutilizzato, estensioni firmate poi riconvertite, interruttori di phishing da remoto e infrastrutture condivise. Considerati insieme, questi segnali sono risultati molto più significativi che analizzando ogni estensione isolatamente.

Le prove disponibili sostengono con chiarezza la valutazione della campagna da 77 estensioni e il comportamento di esfiltrazione dei keyring Rabby. Non offrono però dettagli sufficienti per associare con certezza ciascuno dei quattro cluster a una specifica famiglia di estensioni o per identificare le persone dietro l’operazione.

Secondo i ricercatori, l’attività era in corso almeno da marzo 2026. Al momento non è stata attribuita a un attore o a un gruppo noto.

I dati presi di mira

Le estensioni malevole imitavano prodotti Web3 come OKX, Rabby Wallet e TronLink. Tra le informazioni cercate c’erano:

• frasi di recupero e chiavi private delle criptovalute;
• keyring dei wallet e altri dati serializzati;
• credenziali degli account;
• contenuti degli appunti, che possono includere indirizzi di wallet o segreti copiati dall’utente.

Un sottoinsieme di 13 estensioni che imitavano Rabby esfiltrava i dati serializzati del keyring prima del normale processo di cifratura locale di Rabby. In questo modo gli operatori potevano ottenere le informazioni quando la protezione della cifratura non era ancora stata applicata.

L’analisi disponibile non ha confermato che le 37 estensioni dedicate ai risultati sportivi fossero ladre di wallet. Il loro collegamento con gli add-on malevoli deriva invece da codice, infrastrutture, modalità di pubblicazione e cronologie delle versioni sovrapposti.

Quattro cluster e infrastrutture controllate da remoto

Socket ha raggruppato l’attività in quattro cluster malevoli. I gruppi condividevano segnali tecnici e operativi, senza necessariamente usare un’unica struttura identica per ogni estensione. Questo avrebbe permesso agli operatori di distribuire l’operazione tra diversi marchi di wallet e molteplici identità nel marketplace.

Gli add-on utilizzavano inoltre servizi che rendevano l’operazione più flessibile e difficile da analizzare:

• in alcuni cluster, i Cloudflare Workers funzionavano come canali per l’esfiltrazione dei dati rubati;
• infrastrutture ospitate su Supabase supportavano contenuti di phishing controllati da remoto;
• altre estensioni si collegavano a server di comando e controllo codificati direttamente nel software per raccogliere credenziali e dati dagli appunti.

Questa architettura consentiva di non incorporare necessariamente il comportamento malevolo in modo permanente in ogni versione pubblicata. Una pagina di phishing controllata da remoto poteva essere attivata o disattivata senza inviare un nuovo aggiornamento dell’add-on. Così diventava meno probabile che una revisione del marketplace o un controllo successivo cogliesse l’attività nel momento in cui era attiva.

Estensioni firmate e poi trasformate in malware

Uno degli elementi più rilevanti sul fronte dell’elusione era il riutilizzo della cronologia delle versioni. Almeno nove estensioni erano nate come applicazioni per i risultati sportivi e sono state poi aggiornate fino a diventare malware per wallet.

La strategia può far apparire un’estensione meno sospetta al momento della pubblicazione: un add-on può costruirsi una cronologia apparentemente legittima e accumulare fiducia prima che una versione successiva ne modifichi il comportamento. In questo caso, i registri delle firme Mozilla, le identità sovrapposte, il codice comune e l’infrastruttura condivisa hanno aiutato i ricercatori a ricondurre estensioni che sembravano separate a un’unica operazione più ampia.

I registri di firma indicano inoltre che l’attività risale almeno a marzo 2026. Insieme agli altri elementi tecnici, sostengono la valutazione di Socket secondo cui le 77 identità facevano parte di una campagna coordinata, e non di invii malevoli indipendenti.

Cosa devono fare gli utenti di Firefox

Se hai installato una delle estensioni sospette o vi hai inserito informazioni sensibili, comportati come se quei dati fossero già esposti:

1. Rimuovi subito l’estensione. Controlla tutti gli add-on installati in Firefox, non soltanto quello che ha fatto scattare l’allarme.
2. Sposta gli asset crypto in un wallet appena creato, con una nuova frase di recupero. Non riutilizzare una seed phrase o una chiave privata esposta.
3. Cambia le password inserite nell’estensione, iniziando da email, exchange e altri account che potrebbero essere usati per recuperare gli asset. Attiva l’autenticazione a più fattori e revoca, quando possibile, sessioni attive e chiavi API.
4. Monitora wallet e account per individuare attività non autorizzate.
5. Segnala l’estensione a Mozilla e al legittimo provider del wallet che veniva imitato.

Una frase di recupero, una chiave privata o un keyring importato non devono essere considerati al sicuro soltanto perché non è ancora comparso un furto. La campagna era progettata per raccogliere dati che potrebbero consentire in seguito l’accesso agli account o agli asset: intervenire prima che compaiano movimenti sospetti è quindi essenziale.

La lezione per la sicurezza dei browser

La campagna dimostra che la presenza in un marketplace ufficiale e una firma valida dell’estensione non bastano, da sole, a garantire l’affidabilità di un add-on. Gli strumenti collegati combinavano marchi Web3 contraffatti, codice riutilizzato, estensioni firmate poi riconvertite, interruttori di phishing da remoto e infrastrutture condivise. Considerati insieme, questi segnali sono risultati molto più significativi che analizzando ogni estensione isolatamente.

Le prove disponibili sostengono con chiarezza la valutazione della campagna da 77 estensioni e il comportamento di esfiltrazione dei keyring Rabby. Non offrono però dettagli sufficienti per associare con certezza ciascuno dei quattro cluster a una specifica famiglia di estensioni o per identificare le persone dietro l’operazione.