Firefox拡張機能77件を結び付けた「Offside Wallet Theft Factory」

Socketの脅威リサーチチームは、Firefox向けアドオンを悪用した組織的な活動を「Offside Wallet Theft Factory」と名付けて報告しました。この活動では、ソースコード、インフラ、公開時の痕跡、バージョン履歴などが共通する77件の拡張機能IDが確認されています。

このうち、40件は暗号資産ウォレットの秘密情報や認証情報を盗む悪質な拡張機能と判定されました。残る37件はスポーツのスコアを表示する偽装用の拡張機能で、悪質な窃取機能自体は確認されていないものの、同じ公開パターンや技術的特徴から、より大きな活動のカバーまたは足掛かり用ビルドとみられています。

研究者によると、この活動は少なくとも2026年3月から続いていたと考えられます。現時点で、既知の攻撃者や特定の犯罪グループへの帰属は行われていません。

偽装されたウォレットと狙われた情報

悪質な拡張機能は、OKX、Rabby Wallet、TronLinkなどのWeb3関連サービスを装っていました。標的になったのは、主に次の情報です。

• 暗号資産ウォレットのリカバリーフレーズや秘密鍵
• ウォレットのキーリングなど、シリアライズされたウォレットデータ
• アカウントの認証情報
• コピーしたウォレットアドレスや秘密情報が含まれる可能性のあるクリップボードの内容

特にRabby Walletを狙ったグループでは、13件の偽装拡張機能が確認されています。これらは、Rabbyが通常行うローカル暗号化の前に、シリアライズされたウォレットのキーリングデータを外部へ送信していました。つまり、端末上で暗号化される前のデータを窃取する仕組みです。

一方、37件のスポーツスコア拡張機能については、利用者のウォレット情報を盗む機能は、公開されている分析では確認されていません。ただし、コード、インフラ、公開パターン、拡張機能の履歴が悪質な拡張機能と重なっていました。

4つの悪質クラスターと共通インフラ

Socketは、関連する活動を4つの悪質なクラスターに分類しました。すべてが同一の拡張機能デザインを使っていたわけではありませんが、技術面と運用面の共通点によって、複数のウォレットブランドやアドオンIDに分散した活動が結び付けられました。

拡張機能は、次のようなサービスや通信方式も利用していました。

• 一部のクラスターでは、盗んだ情報を送信する経路としてCloudflare Workersを利用。
• Supabase上のインフラを使い、遠隔操作できるフィッシングコンテンツを配信。
• 別の拡張機能では、ハードコードされたコマンド＆コントロール（C2）サーバーに認証情報やクリップボードデータを送信。

この構成では、悪質な挙動を各バージョンに常時埋め込んでおく必要がありません。攻撃者は遠隔操作でフィッシングページを有効化・無効化できるため、拡張機能ストアの審査時や調査時には、危険な挙動が見えない状態にできます。新しいバージョンを公開せずに内容を切り替えられる点も、発見を遅らせる要因になります。

正規署名済みの拡張機能を後から悪用

この活動で特に警戒されるのが、拡張機能のバージョン履歴を利用した再目的化です。少なくとも9件の拡張機能は、当初はスポーツスコアアプリとして始まり、その後の更新でウォレットマルウェアへ変更されていました。

最初からウォレット関連の機能を掲げるよりも、無害に見えるアドオンとして公開履歴を作り、利用者の信頼を得た後で挙動を変えるほうが、発見されにくい可能性があります。今回は、Mozillaの署名記録、重複する拡張機能ID、共通コード、共有インフラなどを組み合わせることで、一見別々に見えるアドオンが同じ活動に属することが明らかになりました。

Mozillaの署名記録からは、活動が少なくとも2026年3月までさかのぼることも示されています。これらの記録は、77件が無関係な悪質投稿の寄せ集めではなく、協調して運用されたキャンペーンだったというSocketの評価を裏付けています。

Firefoxユーザーが取るべき対応

疑わしい拡張機能をインストールしていた場合や、そこへ重要情報を入力した場合は、実際の不正利用が確認されていなくても、その情報は漏えいしたものとして対応してください。

1. 拡張機能を直ちに削除する。 問題になった1件だけでなく、Firefoxにインストールされているすべてのアドオンを確認してください。
2. 暗号資産を新しく作成したウォレットへ移す。 新しいリカバリーフレーズを使い、漏えいしたシードフレーズや秘密鍵は再利用しないでください。
3. 入力したパスワードを変更する。 まずメール、暗号資産取引所、資産回復に使われる可能性のあるアカウントから変更し、多要素認証を有効にしてください。可能であれば、既存のログインセッションやAPIキーも無効化します。
4. ウォレットとアカウントを監視する。 身に覚えのない送金、ログイン、設定変更がないか確認してください。
5. Mozillaと、偽装された正規ウォレット事業者へ報告する。

リカバリーフレーズ、秘密鍵、インポートしたウォレットのキーリングは、まだ資産の盗難が起きていないからといって安全とは限りません。今回の活動は、後からアカウントや資産へのアクセスに使える情報を収集するよう設計されていたため、不審な動きが現れる前に対処する必要があります。

今回のキャンペーンが示す教訓

公式の拡張機能ストアに掲載されていることや、ブラウザー拡張機能として有効な署名が付いていることだけでは、安全性の証明になりません。今回の関連アドオンは、Web3ブランドの偽装、コードの再利用、署名済み拡張機能の再目的化、遠隔で切り替えられるフィッシング機能、共通インフラを組み合わせていました。個々の拡張機能を単独で調べるより、こうした複数の兆候をまとめて分析することで、全体像が見えやすくなります。

現時点の証拠は、77件に及ぶキャンペーンの存在と、Rabbyのキーリングデータを暗号化前に送信する挙動を裏付けています。一方で、4つのクラスターすべてを特定の拡張機能ファミリーに確実に割り当てたり、背後にいる人物を特定したりできるだけの情報は、まだ示されていません。