Socket связала 77 расширений Firefox с кампанией Offside Wallet Theft Factory: 40 были признаны вредоносными, ещё 37 выглядели как спортивные приложения с результатами матчей. Злоумышленники охотились за seed фразами, приватными ключами, сериализованными хранилищами Rabby, паролями и содержимым буфера обмена, исполь...
ОпубликовалОтредактировано с помощью GPT-5.6 LunaИзображения созданы с помощью GPT Image 1.5
Socket связала 77 расширений Firefox с кампанией Offside Wallet Theft Factory: 40 были признаны вредоносными, ещё 37 выглядели как спортивные приложения с результатами матчей.
Злоумышленники охотились за seed фразами, приватными ключами, сериализованными хранилищами Rabby, паролями и содержимым буфера обмена, используя общую инфраструктуру и удалённые фишинговые переключатели.
Пользователям, которые вводили конфиденциальные данные в подозрительное расширение, следует считать их скомпрометированными: удалить дополнение, перевести активы в новый кошелёк и сменить затронутые пароли.
What did Socket’s Threat Research team uncover about the “Offside Wallet Theft Factory”—a coordinated campaign active since at least March 2The Offside Wallet Theft Factory used fake Web3 extensions and shared infrastructure to target Firefox users.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: What did Socket’s Threat Research team uncover about the “Offside Wallet Theft Factory”—a coordinated campaign active since at least March 2. Article summary: Socket identified a coordinated Firefox add-on operation it calls the “Offside Wallet Theft Factory”: 77 linked extension identities, of which 40 were confirmed wallet-secret or credential stealers and 37 were deceptive . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com
Исследовательская команда Socket обнаружила скоординированную операцию с расширениями Firefox, получившую название Offside Wallet Theft Factory. В неё входили 77 идентификаторов расширений, связанных общим кодом, инфраструктурой, артефактами публикации и историей версий. 40 расширений подтвердили как вредоносные: они атаковали секреты криптокошельков и учётные данные. Ещё 37 обманных расширений показывали спортивные результаты и, по оценке исследователей, могли использоваться как прикрытие или промежуточные сборки.
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «Кампания Offside Wallet Theft Factory: 40 расширений Firefox крали данные криптокошельков»?
Socket связала 77 расширений Firefox с кампанией Offside Wallet Theft Factory: 40 были признаны вредоносными, ещё 37 выглядели как спортивные приложения с результатами матчей.
Какие ключевые моменты необходимо проверить в первую очередь?
Socket связала 77 расширений Firefox с кампанией Offside Wallet Theft Factory: 40 были признаны вредоносными, ещё 37 выглядели как спортивные приложения с результатами матчей. Злоумышленники охотились за seed фразами, приватными ключами, сериализованными хранилищами Rabby, паролями и содержимым буфера обмена, используя общую инфраструктуру и удалённые фишинговые переключатели.
Что мне делать дальше на практике?
Пользователям, которые вводили конфиденциальные данные в подозрительное расширение, следует считать их скомпрометированными: удалить дополнение, перевести активы в новый кошелёк и сменить затронутые пароли.
Socket связала 77 расширений Firefox с кампанией Offside Wallet Theft Factory: 40 были признаны вредоносными, ещё 37 выглядели как спортивные приложения с результатами матчей. Злоумышленники охотились за seed фразами, приватными ключами, сериализованными хранилищами Rabby, паролями и содержимым буфера обмена, исполь...
ОпубликовалОтредактировано с помощью GPT-5.6 LunaИзображения созданы с помощью GPT Image 1.5
Socket связала 77 расширений Firefox с кампанией Offside Wallet Theft Factory: 40 были признаны вредоносными, ещё 37 выглядели как спортивные приложения с результатами матчей.
Злоумышленники охотились за seed фразами, приватными ключами, сериализованными хранилищами Rabby, паролями и содержимым буфера обмена, используя общую инфраструктуру и удалённые фишинговые переключатели.
Пользователям, которые вводили конфиденциальные данные в подозрительное расширение, следует считать их скомпрометированными: удалить дополнение, перевести активы в новый кошелёк и сменить затронутые пароли.
What did Socket’s Threat Research team uncover about the “Offside Wallet Theft Factory”—a coordinated campaign active since at least March 2The Offside Wallet Theft Factory used fake Web3 extensions and shared infrastructure to target Firefox users.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: What did Socket’s Threat Research team uncover about the “Offside Wallet Theft Factory”—a coordinated campaign active since at least March 2. Article summary: Socket identified a coordinated Firefox add-on operation it calls the “Offside Wallet Theft Factory”: 77 linked extension identities, of which 40 were confirmed wallet-secret or credential stealers and 37 were deceptive . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com
Исследовательская команда Socket обнаружила скоординированную операцию с расширениями Firefox, получившую название Offside Wallet Theft Factory. В неё входили 77 идентификаторов расширений, связанных общим кодом, инфраструктурой, артефактами публикации и историей версий. 40 расширений подтвердили как вредоносные: они атаковали секреты криптокошельков и учётные данные. Ещё 37 обманных расширений показывали спортивные результаты и, по оценке исследователей, могли использоваться как прикрытие или промежуточные сборки.
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «Кампания Offside Wallet Theft Factory: 40 расширений Firefox крали данные криптокошельков»?
Socket связала 77 расширений Firefox с кампанией Offside Wallet Theft Factory: 40 были признаны вредоносными, ещё 37 выглядели как спортивные приложения с результатами матчей.
Какие ключевые моменты необходимо проверить в первую очередь?
Socket связала 77 расширений Firefox с кампанией Offside Wallet Theft Factory: 40 были признаны вредоносными, ещё 37 выглядели как спортивные приложения с результатами матчей. Злоумышленники охотились за seed фразами, приватными ключами, сериализованными хранилищами Rabby, паролями и содержимым буфера обмена, используя общую инфраструктуру и удалённые фишинговые переключатели.
Что мне делать дальше на практике?
Пользователям, которые вводили конфиденциальные данные в подозрительное расширение, следует считать их скомпрометированными: удалить дополнение, перевести активы в новый кошелёк и сменить затронутые пароли.
Кампания, предположительно, действовала как минимум с марта 2026 года. Исследователи не связали её с каким-либо известным злоумышленником или группировкой.
Какие данные похищали расширения
Вредоносные дополнения выдавали себя за продукты Web3, включая OKX, Rabby Wallet и TronLink. Их интересовали:
seed-фразы для восстановления криптокошелька и приватные ключи;
keyring-файлы и другие сериализованные данные кошелька;
пароли и данные учётных записей;
содержимое буфера обмена — например, скопированные адреса кошельков или секреты.
Особенно опасной была группа из 13 расширений, имитировавших Rabby Wallet. Они отправляли сериализованные данные keyring на сервер ещё до штатного локального шифрования Rabby. Таким образом, операторы получали доступ к информации в момент, когда защита шифрованием ещё не действовала.
37 расширений со спортивными результатами в доступном анализе не были подтверждены как похитители данных кошельков. Их связь с вредоносными дополнениями установили по совпадениям в коде, инфраструктуре, способах публикации и истории версий.
Как была устроена операция
Socket разделила вредоносную активность на четыре кластера. Они не обязательно использовали одинаковый дизайн расширений, но совпадали по техническим и операционным признакам. Это позволяло распределять кампанию между разными брендами криптокошельков и множеством идентификаторов дополнений.
Исследователи обнаружили несколько способов, которые помогали операторам менять тактику и затрудняли проверку:
Cloudflare Workers в некоторых кластерах использовались как каналы для отправки украденных данных.
Инфраструктура на базе Supabase поддерживала удалённо управляемый фишинговый контент.
Другие расширения обращались к жёстко заданным серверам управления и контроля, куда передавались пароли и данные из буфера обмена.
Такая схема означала, что вредоносная функция не обязательно должна была постоянно присутствовать в опубликованной версии дополнения. Операторы могли включать и отключать фишинговую страницу удалённо, не выпуская новое обновление. Из-за этого проверка магазина или последующий осмотр расширения могли не застать активное вредоносное поведение.
Подписанные расширения превращали в вредоносные
Одним из ключевых признаков обхода обнаружения стала повторная эксплуатация уже опубликованных дополнений. Как минимум девять расширений начинали как приложения со спортивными результатами, а позднее обновлялись до состояния кошелькового вредоносного ПО.
Эта тактика позволяет сначала выглядеть безобидно, сформировать историю публикаций и завоевать доверие пользователей, а затем изменить поведение в последующей версии. В данном случае исследователям помогли записи о подписании Mozilla, совпадающие идентификаторы, общий код и инфраструктура. Они показали, что внешне разрозненные дополнения были частью более крупной операции.
Записи о подписании также указывают, что активность началась как минимум в марте 2026 года. Вместе с повторным использованием кода и инфраструктуры они поддерживают вывод Socket о скоординированной кампании, а не о серии независимых вредоносных публикаций.
Что делать пользователям Firefox
Если вы устанавливали подозрительное расширение или вводили в него конфиденциальные данные, действуйте так, будто эта информация уже раскрыта:
Немедленно удалите расширение. Проверьте весь список дополнений Firefox, а не только то, которое вызвало подозрения.
Переведите криптоактивы в новый кошелёк, созданный с новой seed-фразой. Не используйте повторно раскрытую seed-фразу или приватный ключ.
Смените все пароли, введённые в расширение, начиная с паролей электронной почты, криптобирж и других аккаунтов, через которые можно восстановить доступ к активам. Включите многофакторную аутентификацию и отзовите активные сессии или API-ключи, если такая возможность предусмотрена.
Следите за кошельками и учётными записями на предмет несанкционированной активности.
Сообщите о расширении Mozilla и настоящему разработчику кошелька, чьё имя оно имитировало.
Seed-фразу, приватный ключ или импортированный keyring не следует считать безопасными только потому, что кража пока не обнаружена. Кампания была рассчитана на сбор данных, которые могут обеспечить доступ к аккаунту или активам позднее. Поэтому меры защиты нужно принять до появления подозрительных транзакций или других признаков взлома.
Главный вывод
Эта история показывает, что присутствие в официальном магазине и действительная подпись браузерного расширения сами по себе не доказывают его надёжность. В кампании сочетались поддельный брендинг Web3, повторно использованный код, перепрофилированные подписанные дополнения, удалённо управляемые фишинговые страницы и общая инфраструктура. В совокупности эти признаки оказались гораздо показательнее, чем проверка каждого расширения по отдельности.
Доступные данные убедительно подтверждают существование кампании из 77 расширений и факт кражи keyring-данных у пользователей Rabby. Однако их недостаточно, чтобы надёжно сопоставить каждый из четырёх кластеров с конкретным семейством расширений или установить личности организаторов операции.
Кампания, предположительно, действовала как минимум с марта 2026 года. Исследователи не связали её с каким-либо известным злоумышленником или группировкой.
Какие данные похищали расширения
Вредоносные дополнения выдавали себя за продукты Web3, включая OKX, Rabby Wallet и TronLink. Их интересовали:
seed-фразы для восстановления криптокошелька и приватные ключи;
keyring-файлы и другие сериализованные данные кошелька;
пароли и данные учётных записей;
содержимое буфера обмена — например, скопированные адреса кошельков или секреты.
Особенно опасной была группа из 13 расширений, имитировавших Rabby Wallet. Они отправляли сериализованные данные keyring на сервер ещё до штатного локального шифрования Rabby. Таким образом, операторы получали доступ к информации в момент, когда защита шифрованием ещё не действовала.
37 расширений со спортивными результатами в доступном анализе не были подтверждены как похитители данных кошельков. Их связь с вредоносными дополнениями установили по совпадениям в коде, инфраструктуре, способах публикации и истории версий.
Как была устроена операция
Socket разделила вредоносную активность на четыре кластера. Они не обязательно использовали одинаковый дизайн расширений, но совпадали по техническим и операционным признакам. Это позволяло распределять кампанию между разными брендами криптокошельков и множеством идентификаторов дополнений.
Исследователи обнаружили несколько способов, которые помогали операторам менять тактику и затрудняли проверку:
Cloudflare Workers в некоторых кластерах использовались как каналы для отправки украденных данных.
Инфраструктура на базе Supabase поддерживала удалённо управляемый фишинговый контент.
Другие расширения обращались к жёстко заданным серверам управления и контроля, куда передавались пароли и данные из буфера обмена.
Такая схема означала, что вредоносная функция не обязательно должна была постоянно присутствовать в опубликованной версии дополнения. Операторы могли включать и отключать фишинговую страницу удалённо, не выпуская новое обновление. Из-за этого проверка магазина или последующий осмотр расширения могли не застать активное вредоносное поведение.
Подписанные расширения превращали в вредоносные
Одним из ключевых признаков обхода обнаружения стала повторная эксплуатация уже опубликованных дополнений. Как минимум девять расширений начинали как приложения со спортивными результатами, а позднее обновлялись до состояния кошелькового вредоносного ПО.
Эта тактика позволяет сначала выглядеть безобидно, сформировать историю публикаций и завоевать доверие пользователей, а затем изменить поведение в последующей версии. В данном случае исследователям помогли записи о подписании Mozilla, совпадающие идентификаторы, общий код и инфраструктура. Они показали, что внешне разрозненные дополнения были частью более крупной операции.
Записи о подписании также указывают, что активность началась как минимум в марте 2026 года. Вместе с повторным использованием кода и инфраструктуры они поддерживают вывод Socket о скоординированной кампании, а не о серии независимых вредоносных публикаций.
Что делать пользователям Firefox
Если вы устанавливали подозрительное расширение или вводили в него конфиденциальные данные, действуйте так, будто эта информация уже раскрыта:
Немедленно удалите расширение. Проверьте весь список дополнений Firefox, а не только то, которое вызвало подозрения.
Переведите криптоактивы в новый кошелёк, созданный с новой seed-фразой. Не используйте повторно раскрытую seed-фразу или приватный ключ.
Смените все пароли, введённые в расширение, начиная с паролей электронной почты, криптобирж и других аккаунтов, через которые можно восстановить доступ к активам. Включите многофакторную аутентификацию и отзовите активные сессии или API-ключи, если такая возможность предусмотрена.
Следите за кошельками и учётными записями на предмет несанкционированной активности.
Сообщите о расширении Mozilla и настоящему разработчику кошелька, чьё имя оно имитировало.
Seed-фразу, приватный ключ или импортированный keyring не следует считать безопасными только потому, что кража пока не обнаружена. Кампания была рассчитана на сбор данных, которые могут обеспечить доступ к аккаунту или активам позднее. Поэтому меры защиты нужно принять до появления подозрительных транзакций или других признаков взлома.
Главный вывод
Эта история показывает, что присутствие в официальном магазине и действительная подпись браузерного расширения сами по себе не доказывают его надёжность. В кампании сочетались поддельный брендинг Web3, повторно использованный код, перепрофилированные подписанные дополнения, удалённо управляемые фишинговые страницы и общая инфраструктура. В совокупности эти признаки оказались гораздо показательнее, чем проверка каждого расширения по отдельности.
Доступные данные убедительно подтверждают существование кампании из 77 расширений и факт кражи keyring-данных у пользователей Rabby. Однако их недостаточно, чтобы надёжно сопоставить каждый из четырёх кластеров с конкретным семейством расширений или установить личности организаторов операции.
thehackernews.com40 Malicious Firefox Extensions Pose as Web3 Products to ...
socket.dev77 Firefox Extensions Linked to Crypto Wallet and Credential Theft
daily.dev77 Firefox Extensions Linked to Crypto Wallet and...
cybersecuritynews.com15 Malicious Firefox Extensions Abuse Cloudflare Workers to Exfiltrate Crypto Wallet Secrets