Aktiviti ini dipercayai telah berjalan sekurang-kurangnya sejak Mac 2026. Setakat ini, penyelidik belum mengaitkannya dengan mana-mana pelaku ancaman atau kumpulan yang diketahui.

Apa yang menjadi sasaran?

Sambungan berniat jahat itu menyamar sebagai produk Web3 seperti OKX, Rabby Wallet dan TronLink. Antara maklumat yang disasarkan ialah:

• Frasa pemulihan dan kunci peribadi mata wang kripto
• Keyring dompet serta data dompet lain dalam format bersiri
• Kelayakan akaun
• Kandungan papan keratan, termasuk alamat dompet atau rahsia yang disalin pengguna

Satu kelompok yang menyamar sebagai Rabby merangkumi 13 sambungan. Ia mencuri data keyring dompet dalam format bersiri sebelum proses penyulitan setempat biasa Rabby dilakukan. Ini memberi peluang kepada pengendali mendapatkan data tersebut ketika ia masih belum dilindungi oleh penyulitan tempatan.

Walaupun 37 sambungan skor sukan itu tidak disahkan sebagai pencuri dompet dalam analisis yang tersedia, ia dikaitkan dengan add-on berniat jahat melalui pertindihan kod, infrastruktur, corak penerbitan dan sejarah versi.

Empat kelompok dengan teknik berbeza

Laporan Socket membahagikan aktiviti ini kepada empat kelompok berniat jahat. Kelompok-kelompok tersebut berkongsi petunjuk teknikal dan operasi, walaupun tidak semestinya menggunakan reka bentuk sambungan yang sama. Pendekatan ini membolehkan kempen disebarkan melalui pelbagai jenama dompet dan identiti add-on.

Beberapa perkhidmatan turut digunakan untuk memudahkan operasi dan menyukarkan pemeriksaan:

• Cloudflare Workers berfungsi sebagai saluran untuk menghantar keluar data yang dicuri dalam sesetengah kelompok.
• Infrastruktur yang dihoskan di Supabase menyokong kandungan pancingan data yang boleh dikawal dari jauh.
• Sambungan lain menggunakan pelayan arahan dan kawalan yang ditetapkan secara terus untuk mengumpul kelayakan serta data papan keratan.

Reka bentuk ini bermakna tingkah laku berniat jahat tidak semestinya perlu kekal dalam setiap versi sambungan yang diterbitkan. Halaman pancingan data boleh dihidupkan atau dimatikan dari jauh tanpa menghantar kemas kini add-on baharu. Ini mengurangkan kemungkinan tingkah laku aktif dikesan ketika semakan atau pemeriksaan sambungan.

Add-on yang telah ditandatangani digunakan semula

Salah satu petunjuk pengelakan yang penting ialah penggunaan semula versi dan identiti sambungan. Sekurang-kurangnya sembilan sambungan pada asalnya ialah aplikasi skor sukan, sebelum dikemas kini menjadi perisian hasad yang menyasarkan dompet.

Taktik ini boleh membuatkan add-on kelihatan kurang mencurigakan ketika mula diterbitkan. Sambungan berkenaan berpeluang membina sejarah penerbitan dan meraih kepercayaan pengguna sebelum versi kemudian mengubah tingkah lakunya.

Dalam kes ini, rekod tandatangan Mozilla, identiti yang bertindih, kod yang serupa dan infrastruktur bersama membantu penyelidik menghubungkan sambungan yang kelihatan berasingan kepada satu operasi lebih besar.

Rekod tandatangan itu juga menunjukkan bahawa aktiviti berkenaan bermula sekurang-kurangnya pada Mac 2026. Bersama bukti kod dan infrastruktur yang dikongsi, rekod tersebut menyokong penilaian Socket bahawa 77 identiti itu merupakan kempen tersusun, bukannya penghantaran berniat jahat yang tidak berkaitan.

Apa yang patut dilakukan pengguna Firefox?

Jika anda pernah memasang salah satu sambungan mencurigakan atau memasukkan maklumat sensitif ke dalamnya, bertindaklah seolah-olah maklumat tersebut telah terdedah:

1. Padam sambungan itu serta-merta. Semak semua add-on Firefox yang dipasang, bukan hanya sambungan yang menimbulkan kebimbangan.
2. Pindahkan aset kripto ke dompet baharu yang menggunakan frasa pemulihan baharu. Jangan gunakan semula frasa benih atau kunci peribadi yang mungkin telah terdedah.
3. Tukar semua kata laluan yang dimasukkan ke dalam sambungan tersebut, bermula dengan akaun e-mel, bursa kripto dan akaun lain yang boleh digunakan untuk memulihkan akses kepada aset. Aktifkan pengesahan berbilang faktor, serta batalkan sesi aktif atau kunci API jika tersedia.
4. Pantau dompet dan akaun untuk mengesan aktiviti tanpa kebenaran.
5. Laporkan sambungan itu kepada Mozilla dan penyedia dompet sah yang ditirunya.

Frasa pemulihan, kunci peribadi atau keyring dompet yang diimport tidak boleh dianggap selamat hanya kerana tiada kecurian dikesan setakat ini. Kempen ini direka untuk mengumpul data yang boleh digunakan bagi mendapatkan akses kepada akaun atau aset pada masa akan datang. Tindakan pemulihan perlu dimulakan sebelum aktiviti mencurigakan kelihatan.

Pengajaran lebih besar

Kempen ini menunjukkan bahawa kehadiran di gedung rasmi dan tandatangan sambungan pelayar yang sah tidak mencukupi untuk membuktikan sesuatu add-on boleh dipercayai. Sambungan-sambungan tersebut menggabungkan penjenamaan Web3 palsu, kod yang digunakan semula, add-on bertandatangan yang ditukar fungsi, suis pancingan data dari jauh dan infrastruktur bersama. Isyarat ini menjadi lebih bermakna apabila dianalisis secara keseluruhan, bukan apabila setiap sambungan diperiksa secara berasingan.

Bukti yang tersedia menyokong penilaian mengenai kempen 77 sambungan serta tingkah laku pencurian keyring Rabby. Namun, maklumat yang ada belum mencukupi untuk memadankan setiap satu daripada empat kelompok itu dengan keluarga sambungan tertentu atau mengenal pasti individu di sebalik operasi tersebut.

Aktiviti ini dipercayai telah berjalan sekurang-kurangnya sejak Mac 2026. Setakat ini, penyelidik belum mengaitkannya dengan mana-mana pelaku ancaman atau kumpulan yang diketahui.

Apa yang menjadi sasaran?

Sambungan berniat jahat itu menyamar sebagai produk Web3 seperti OKX, Rabby Wallet dan TronLink. Antara maklumat yang disasarkan ialah:

• Frasa pemulihan dan kunci peribadi mata wang kripto
• Keyring dompet serta data dompet lain dalam format bersiri
• Kelayakan akaun
• Kandungan papan keratan, termasuk alamat dompet atau rahsia yang disalin pengguna

Satu kelompok yang menyamar sebagai Rabby merangkumi 13 sambungan. Ia mencuri data keyring dompet dalam format bersiri sebelum proses penyulitan setempat biasa Rabby dilakukan. Ini memberi peluang kepada pengendali mendapatkan data tersebut ketika ia masih belum dilindungi oleh penyulitan tempatan.

Walaupun 37 sambungan skor sukan itu tidak disahkan sebagai pencuri dompet dalam analisis yang tersedia, ia dikaitkan dengan add-on berniat jahat melalui pertindihan kod, infrastruktur, corak penerbitan dan sejarah versi.

Empat kelompok dengan teknik berbeza

Laporan Socket membahagikan aktiviti ini kepada empat kelompok berniat jahat. Kelompok-kelompok tersebut berkongsi petunjuk teknikal dan operasi, walaupun tidak semestinya menggunakan reka bentuk sambungan yang sama. Pendekatan ini membolehkan kempen disebarkan melalui pelbagai jenama dompet dan identiti add-on.

Beberapa perkhidmatan turut digunakan untuk memudahkan operasi dan menyukarkan pemeriksaan:

• Cloudflare Workers berfungsi sebagai saluran untuk menghantar keluar data yang dicuri dalam sesetengah kelompok.
• Infrastruktur yang dihoskan di Supabase menyokong kandungan pancingan data yang boleh dikawal dari jauh.
• Sambungan lain menggunakan pelayan arahan dan kawalan yang ditetapkan secara terus untuk mengumpul kelayakan serta data papan keratan.

Reka bentuk ini bermakna tingkah laku berniat jahat tidak semestinya perlu kekal dalam setiap versi sambungan yang diterbitkan. Halaman pancingan data boleh dihidupkan atau dimatikan dari jauh tanpa menghantar kemas kini add-on baharu. Ini mengurangkan kemungkinan tingkah laku aktif dikesan ketika semakan atau pemeriksaan sambungan.

Add-on yang telah ditandatangani digunakan semula

Salah satu petunjuk pengelakan yang penting ialah penggunaan semula versi dan identiti sambungan. Sekurang-kurangnya sembilan sambungan pada asalnya ialah aplikasi skor sukan, sebelum dikemas kini menjadi perisian hasad yang menyasarkan dompet.

Taktik ini boleh membuatkan add-on kelihatan kurang mencurigakan ketika mula diterbitkan. Sambungan berkenaan berpeluang membina sejarah penerbitan dan meraih kepercayaan pengguna sebelum versi kemudian mengubah tingkah lakunya.

Dalam kes ini, rekod tandatangan Mozilla, identiti yang bertindih, kod yang serupa dan infrastruktur bersama membantu penyelidik menghubungkan sambungan yang kelihatan berasingan kepada satu operasi lebih besar.

Rekod tandatangan itu juga menunjukkan bahawa aktiviti berkenaan bermula sekurang-kurangnya pada Mac 2026. Bersama bukti kod dan infrastruktur yang dikongsi, rekod tersebut menyokong penilaian Socket bahawa 77 identiti itu merupakan kempen tersusun, bukannya penghantaran berniat jahat yang tidak berkaitan.

Apa yang patut dilakukan pengguna Firefox?

Jika anda pernah memasang salah satu sambungan mencurigakan atau memasukkan maklumat sensitif ke dalamnya, bertindaklah seolah-olah maklumat tersebut telah terdedah:

1. Padam sambungan itu serta-merta. Semak semua add-on Firefox yang dipasang, bukan hanya sambungan yang menimbulkan kebimbangan.
2. Pindahkan aset kripto ke dompet baharu yang menggunakan frasa pemulihan baharu. Jangan gunakan semula frasa benih atau kunci peribadi yang mungkin telah terdedah.
3. Tukar semua kata laluan yang dimasukkan ke dalam sambungan tersebut, bermula dengan akaun e-mel, bursa kripto dan akaun lain yang boleh digunakan untuk memulihkan akses kepada aset. Aktifkan pengesahan berbilang faktor, serta batalkan sesi aktif atau kunci API jika tersedia.
4. Pantau dompet dan akaun untuk mengesan aktiviti tanpa kebenaran.
5. Laporkan sambungan itu kepada Mozilla dan penyedia dompet sah yang ditirunya.

Frasa pemulihan, kunci peribadi atau keyring dompet yang diimport tidak boleh dianggap selamat hanya kerana tiada kecurian dikesan setakat ini. Kempen ini direka untuk mengumpul data yang boleh digunakan bagi mendapatkan akses kepada akaun atau aset pada masa akan datang. Tindakan pemulihan perlu dimulakan sebelum aktiviti mencurigakan kelihatan.

Pengajaran lebih besar

Kempen ini menunjukkan bahawa kehadiran di gedung rasmi dan tandatangan sambungan pelayar yang sah tidak mencukupi untuk membuktikan sesuatu add-on boleh dipercayai. Sambungan-sambungan tersebut menggabungkan penjenamaan Web3 palsu, kod yang digunakan semula, add-on bertandatangan yang ditukar fungsi, suis pancingan data dari jauh dan infrastruktur bersama. Isyarat ini menjadi lebih bermakna apabila dianalisis secara keseluruhan, bukan apabila setiap sambungan diperiksa secara berasingan.

Bukti yang tersedia menyokong penilaian mengenai kempen 77 sambungan serta tingkah laku pencurian keyring Rabby. Namun, maklumat yang ada belum mencukupi untuk memadankan setiap satu daripada empat kelompok itu dengan keluarga sambungan tertentu atau mengenal pasti individu di sebalik operasi tersebut.