„Offside Wallet Theft Factory”: 40 złośliwych rozszerzeń Firefoksa kradło dane portfeli

Zespół Socket Threat Research wykrył skoordynowaną operację przeciwko użytkownikom Firefoksa, którą nazwał „Offside Wallet Theft Factory”. Badacze powiązali 77 tożsamości rozszerzeń na podstawie współdzielonego kodu, infrastruktury, śladów publikacji i historii wersji. 40 dodatków potwierdzono jako złośliwe — ich celem były sekrety portfeli kryptowalutowych lub dane uwierzytelniające. Kolejne 37 rozszerzeń udawało narzędzia z wynikami sportowymi i mogło służyć jako przykrywka albo wersje przygotowawcze.

Kampania miała być aktywna co najmniej od marca 2026 roku. Badacze nie przypisali jej dotąd żadnej znanej grupie ani konkretnemu cyberprzestępcy.

Jakie dane kradły dodatki?

Złośliwe rozszerzenia podszywały się pod produkty Web3, między innymi OKX, Rabby Wallet i TronLink. Atakujący interesowali się przede wszystkim:

• frazami odzyskiwania portfela i kluczami prywatnymi,
• keyringami oraz innymi zapisanymi danymi portfela,
• danymi logowania do kont,
• zawartością schowka, w której mogą znajdować się skopiowane adresy portfeli lub sekrety.

Szczególnie niebezpieczna była grupa 13 dodatków podszywających się pod Rabby Wallet. Wykradały one zserializowane dane keyringu jeszcze przed wykonaniem standardowego lokalnego szyfrowania przez Rabby. Oznaczało to, że operatorzy uzyskiwali dostęp do informacji na etapie, na którym szyfrowanie nie chroniło ich jeszcze przed odczytem.

Nie potwierdzono, by wszystkie 37 dodatków z wynikami sportowymi samodzielnie kradły portfele. Ich związek ze złośliwymi rozszerzeniami wynikał z podobieństw w kodzie, infrastrukturze, sposobie publikacji i historii wersji.

Cztery klastry i infrastruktura utrudniająca wykrycie

Socket podzielił złośliwą część operacji na cztery klastry. Nie wszystkie rozszerzenia wyglądały identycznie, ale łączyły je wspólne sygnały techniczne i operacyjne. Dzięki temu kampania mogła być rozproszona między różne marki portfeli i wiele tożsamości dodatków.

Atakujący korzystali między innymi z:

• Cloudflare Workers jako kanałów eksfiltracji, czyli przesyłania skradzionych danych na zewnątrz,
• infrastruktury hostowanej w Supabase, która obsługiwała zdalnie sterowane treści phishingowe,
• zapisanych na stałe serwerów dowodzenia i kontroli do zbierania haseł oraz danych ze schowka.

Taki model utrudniał analizę dodatków. Złośliwa funkcja nie musiała być stale aktywna w każdej opublikowanej wersji. Operatorzy mogli włączać lub wyłączać zdalną stronę phishingową bez przesyłania nowej aktualizacji do sklepu. W efekcie kontrola dodatku w jednym momencie mogła nie ujawnić jego pełnego działania.

Podpisane dodatki zmieniały przeznaczenie

Jednym z ważniejszych elementów kampanii było ponowne wykorzystanie historii wersji. Co najmniej dziewięć rozszerzeń zaczynało jako aplikacje z wynikami sportowymi, a dopiero później zostało zmienionych w złośliwe oprogramowanie kradnące dane portfeli.

Taka strategia pozwala najpierw zbudować wiarygodność dodatku i historię publikacji, a nawet zdobyć zaufanie użytkowników, by następnie zmienić jego zachowanie w kolejnej wersji. Badaczom udało się połączyć pozornie niezależne dodatki dzięki zapisom podpisów Mozilli, wspólnym fragmentom kodu, powtarzającym się tożsamościom oraz współdzielonej infrastrukturze.

Dane dotyczące podpisywania rozszerzeń wskazują, że aktywność sięgała co najmniej marca 2026 roku. W połączeniu ze wspólnym kodem i infrastrukturą wspierają one ocenę Socket, że 77 dodatków było elementami skoordynowanej operacji, a nie zbiorem niezależnych zgłoszeń.

Co zrobić, jeśli używałeś podejrzanego rozszerzenia?

Jeśli zainstalowałeś podejrzany dodatek albo wpisałeś do niego wrażliwe informacje, postępuj tak, jakby dane zostały przejęte:

1. Natychmiast usuń rozszerzenie. Sprawdź całą listę dodatków zainstalowanych w Firefoksie, a nie tylko ten, który wzbudził podejrzenia.
2. Przenieś aktywa kryptowalutowe do nowo utworzonego portfela z nową frazą odzyskiwania. Nie używaj ponownie ujawnionej frazy seed ani klucza prywatnego.
3. Zmień wszystkie hasła wpisane do rozszerzenia, zaczynając od poczty elektronicznej, giełd kryptowalutowych i innych kont, które mogą posłużyć do odzyskania dostępu do aktywów. Włącz uwierzytelnianie wieloskładnikowe oraz unieważnij aktywne sesje i klucze API, jeśli dana usługa na to pozwala.
4. Monitoruj portfele i konta pod kątem nieautoryzowanej aktywności.
5. Zgłoś rozszerzenie Mozilli oraz prawowitemu dostawcy portfela, pod którego się podszywało.

Frazy odzyskiwania, klucza prywatnego ani zaimportowanego keyringu Rabby nie należy uznawać za bezpieczne tylko dlatego, że dotąd nie doszło do kradzieży. Celem kampanii było zebranie danych, które mogą umożliwić późniejszy dostęp do kont lub aktywów. Reakcja powinna nastąpić, zanim pojawią się pierwsze podejrzane transakcje.

Szerszy wniosek dla użytkowników rozszerzeń

Sama obecność dodatku w oficjalnym sklepie i ważny podpis przeglądarki nie wystarczają, by uznać go za godny zaufania. Opisana kampania łączyła fałszywe oznaczenia Web3, ponownie wykorzystywany kod, podpisane wcześniej rozszerzenia, zdalnie przełączane strony phishingowe i wspólną infrastrukturę. Dopiero analiza tych sygnałów razem pozwoliła dostrzec powiązania, których można nie zauważyć przy badaniu każdego dodatku osobno.

Dostępne dowody potwierdzają ocenę dotyczącą kampanii obejmującej 77 rozszerzeń oraz mechanizm wykradania keyringów Rabby. Nie ma jednak wystarczających danych, by wiarygodnie przypisać każdy z czterech klastrów do konkretnej rodziny dodatków lub wskazać osoby stojące za operacją.