A atividade estaria em andamento desde pelo menos março de 2026. Até o momento, os pesquisadores não atribuíram a operação a um grupo ou agente conhecido.

O que as extensões maliciosas roubavam

Os add-ons se passavam por produtos Web3, incluindo OKX, Rabby Wallet e TronLink. Entre os dados visados estavam:

• Frases de recuperação e chaves privadas de criptomoedas;
• Keyrings de carteiras e outros dados serializados;
• Credenciais de contas;
• Conteúdo da área de transferência, que pode incluir endereços de carteiras ou segredos copiados pelo usuário.

Um subconjunto focado na Rabby incluía 13 falsificações que extraíam dados serializados do keyring antes do processo normal de criptografia local da carteira Rabby. Assim, os operadores obtinham acesso às informações antes que a proteção criptográfica local fosse aplicada.

As 37 extensões relacionadas a placares esportivos não foram confirmadas como ladrões de carteiras na análise disponível. A ligação delas com os add-ons maliciosos veio da sobreposição de código, infraestrutura, padrões de publicação e históricos de versões.

Como a campanha funcionava

O relatório da Socket agrupou a atividade em quatro clusters maliciosos. Eles compartilhavam sinais técnicos e operacionais, mas não dependiam de um único modelo idêntico de extensão. Isso permitia distribuir a campanha entre diferentes marcas de carteiras e identidades de add-ons.

As extensões também usavam serviços que facilitavam mudanças rápidas e dificultavam a inspeção:

• Cloudflare Workers funcionavam, em alguns clusters, como canais para exfiltrar os dados roubados.
• Uma infraestrutura hospedada no Supabase dava suporte a conteúdos de phishing controlados remotamente.
• Outros add-ons usavam servidores de comando e controle configurados diretamente no código para coletar credenciais e dados da área de transferência.

Essa combinação fazia com que o comportamento malicioso não precisasse permanecer incorporado de forma permanente em todas as versões publicadas. Uma página de phishing controlada remotamente podia ser ativada ou desativada sem que os criminosos enviassem uma nova atualização da extensão, reduzindo a chance de uma revisão capturar a atividade enquanto ela estava ativa.

Extensões assinadas foram reutilizadas ao longo do tempo

Um dos principais sinais de evasão foi o reaproveitamento do histórico das versões. Pelo menos nove extensões começaram como aplicativos de placares esportivos e depois foram atualizadas para se transformar em malware de carteiras.

A estratégia pode fazer com que um add-on pareça menos suspeito no momento da publicação: ele conquista um histórico na loja e a confiança dos usuários antes de ter seu comportamento alterado em uma versão posterior. Neste caso, registros de assinatura da Mozilla, identidades sobrepostas, código compartilhado e infraestrutura comum ajudaram os pesquisadores a conectar extensões aparentemente separadas à mesma operação.

Os registros de assinatura também indicam que a atividade remonta a pelo menos março de 2026. Combinados aos elementos técnicos, eles sustentam a avaliação da Socket de que as 77 identidades faziam parte de uma campanha coordenada, e não de envios maliciosos isolados.

O que usuários do Firefox devem fazer

Se você instalou uma das extensões suspeitas ou inseriu informações sensíveis nela, aja como se esses dados tivessem sido expostos:

1. Remova a extensão imediatamente. Revise todos os complementos instalados no Firefox, não apenas aquele que levantou suspeitas.
2. Transfira os criptoativos para uma carteira recém-criada, com uma nova frase de recuperação. Não reutilize a seed phrase ou a chave privada exposta.
3. Troque todas as senhas inseridas na extensão, começando pelo e-mail, pelas corretoras e por outras contas que possam ser usadas para recuperar ativos. Ative a autenticação multifator e revogue sessões ativas ou chaves de API, quando disponível.
4. Monitore carteiras e contas em busca de atividades não autorizadas.
5. Denuncie a extensão à Mozilla e ao provedor legítimo da carteira que foi imitada.

Uma frase de recuperação, chave privada ou keyring de carteira importado não deve ser considerado seguro apenas porque nenhum roubo apareceu até agora. A campanha foi projetada para coletar dados que poderiam permitir o acesso posterior a contas ou ativos. Por isso, a correção deve ser feita antes que qualquer atividade suspeita fique visível.

A lição mais ampla

A campanha mostra por que a presença em uma loja oficial e uma assinatura válida de extensão não bastam para comprovar confiança. Os add-ons combinavam marcas Web3 falsas, código reutilizado, extensões assinadas reaproveitadas, mecanismos remotos de phishing e infraestrutura compartilhada. Esses sinais se tornaram mais relevantes quando analisados em conjunto, e não quando cada extensão era examinada isoladamente.

As evidências disponíveis sustentam a avaliação de uma campanha com 77 extensões e o comportamento de exfiltração dos keyrings da Rabby. No entanto, elas não detalham o suficiente para relacionar com segurança cada um dos quatro clusters a uma família específica de extensões ou identificar os responsáveis pela operação.

A atividade estaria em andamento desde pelo menos março de 2026. Até o momento, os pesquisadores não atribuíram a operação a um grupo ou agente conhecido.

O que as extensões maliciosas roubavam

Os add-ons se passavam por produtos Web3, incluindo OKX, Rabby Wallet e TronLink. Entre os dados visados estavam:

• Frases de recuperação e chaves privadas de criptomoedas;
• Keyrings de carteiras e outros dados serializados;
• Credenciais de contas;
• Conteúdo da área de transferência, que pode incluir endereços de carteiras ou segredos copiados pelo usuário.

Um subconjunto focado na Rabby incluía 13 falsificações que extraíam dados serializados do keyring antes do processo normal de criptografia local da carteira Rabby. Assim, os operadores obtinham acesso às informações antes que a proteção criptográfica local fosse aplicada.

As 37 extensões relacionadas a placares esportivos não foram confirmadas como ladrões de carteiras na análise disponível. A ligação delas com os add-ons maliciosos veio da sobreposição de código, infraestrutura, padrões de publicação e históricos de versões.

Como a campanha funcionava

O relatório da Socket agrupou a atividade em quatro clusters maliciosos. Eles compartilhavam sinais técnicos e operacionais, mas não dependiam de um único modelo idêntico de extensão. Isso permitia distribuir a campanha entre diferentes marcas de carteiras e identidades de add-ons.

As extensões também usavam serviços que facilitavam mudanças rápidas e dificultavam a inspeção:

• Cloudflare Workers funcionavam, em alguns clusters, como canais para exfiltrar os dados roubados.
• Uma infraestrutura hospedada no Supabase dava suporte a conteúdos de phishing controlados remotamente.
• Outros add-ons usavam servidores de comando e controle configurados diretamente no código para coletar credenciais e dados da área de transferência.

Essa combinação fazia com que o comportamento malicioso não precisasse permanecer incorporado de forma permanente em todas as versões publicadas. Uma página de phishing controlada remotamente podia ser ativada ou desativada sem que os criminosos enviassem uma nova atualização da extensão, reduzindo a chance de uma revisão capturar a atividade enquanto ela estava ativa.

Extensões assinadas foram reutilizadas ao longo do tempo

Um dos principais sinais de evasão foi o reaproveitamento do histórico das versões. Pelo menos nove extensões começaram como aplicativos de placares esportivos e depois foram atualizadas para se transformar em malware de carteiras.

A estratégia pode fazer com que um add-on pareça menos suspeito no momento da publicação: ele conquista um histórico na loja e a confiança dos usuários antes de ter seu comportamento alterado em uma versão posterior. Neste caso, registros de assinatura da Mozilla, identidades sobrepostas, código compartilhado e infraestrutura comum ajudaram os pesquisadores a conectar extensões aparentemente separadas à mesma operação.

Os registros de assinatura também indicam que a atividade remonta a pelo menos março de 2026. Combinados aos elementos técnicos, eles sustentam a avaliação da Socket de que as 77 identidades faziam parte de uma campanha coordenada, e não de envios maliciosos isolados.

O que usuários do Firefox devem fazer

Se você instalou uma das extensões suspeitas ou inseriu informações sensíveis nela, aja como se esses dados tivessem sido expostos:

1. Remova a extensão imediatamente. Revise todos os complementos instalados no Firefox, não apenas aquele que levantou suspeitas.
2. Transfira os criptoativos para uma carteira recém-criada, com uma nova frase de recuperação. Não reutilize a seed phrase ou a chave privada exposta.
3. Troque todas as senhas inseridas na extensão, começando pelo e-mail, pelas corretoras e por outras contas que possam ser usadas para recuperar ativos. Ative a autenticação multifator e revogue sessões ativas ou chaves de API, quando disponível.
4. Monitore carteiras e contas em busca de atividades não autorizadas.
5. Denuncie a extensão à Mozilla e ao provedor legítimo da carteira que foi imitada.

Uma frase de recuperação, chave privada ou keyring de carteira importado não deve ser considerado seguro apenas porque nenhum roubo apareceu até agora. A campanha foi projetada para coletar dados que poderiam permitir o acesso posterior a contas ou ativos. Por isso, a correção deve ser feita antes que qualquer atividade suspeita fique visível.

A lição mais ampla

A campanha mostra por que a presença em uma loja oficial e uma assinatura válida de extensão não bastam para comprovar confiança. Os add-ons combinavam marcas Web3 falsas, código reutilizado, extensões assinadas reaproveitadas, mecanismos remotos de phishing e infraestrutura compartilhada. Esses sinais se tornaram mais relevantes quando analisados em conjunto, e não quando cada extensão era examinada isoladamente.

As evidências disponíveis sustentam a avaliação de uma campanha com 77 extensões e o comportamento de exfiltração dos keyrings da Rabby. No entanto, elas não detalham o suficiente para relacionar com segurança cada um dos quatro clusters a uma família específica de extensões ou identificar os responsáveis pela operação.