Кампания Offside Wallet Theft Factory: 40 расширений Firefox крали данные криптокошельков

Особенно опасной была группа из 13 расширений, имитировавших Rabby Wallet. Они отправляли сериализованные данные keyring на сервер ещё до штатного локального шифрования Rabby. Таким образом, операторы получали доступ к информации в момент, когда защита шифрованием ещё не действовала.

37 расширений со спортивными результатами в доступном анализе не были подтверждены как похитители данных кошельков. Их связь с вредоносными дополнениями установили по совпадениям в коде, инфраструктуре, способах публикации и истории версий.

Как была устроена операция

Socket разделила вредоносную активность на четыре кластера. Они не обязательно использовали одинаковый дизайн расширений, но совпадали по техническим и операционным признакам. Это позволяло распределять кампанию между разными брендами криптокошельков и множеством идентификаторов дополнений.

Исследователи обнаружили несколько способов, которые помогали операторам менять тактику и затрудняли проверку:

• Cloudflare Workers в некоторых кластерах использовались как каналы для отправки украденных данных.
• Инфраструктура на базе Supabase поддерживала удалённо управляемый фишинговый контент.
• Другие расширения обращались к жёстко заданным серверам управления и контроля, куда передавались пароли и данные из буфера обмена.

Такая схема означала, что вредоносная функция не обязательно должна была постоянно присутствовать в опубликованной версии дополнения. Операторы могли включать и отключать фишинговую страницу удалённо, не выпуская новое обновление. Из-за этого проверка магазина или последующий осмотр расширения могли не застать активное вредоносное поведение.

Подписанные расширения превращали в вредоносные

Одним из ключевых признаков обхода обнаружения стала повторная эксплуатация уже опубликованных дополнений. Как минимум девять расширений начинали как приложения со спортивными результатами, а позднее обновлялись до состояния кошелькового вредоносного ПО.

Эта тактика позволяет сначала выглядеть безобидно, сформировать историю публикаций и завоевать доверие пользователей, а затем изменить поведение в последующей версии. В данном случае исследователям помогли записи о подписании Mozilla, совпадающие идентификаторы, общий код и инфраструктура. Они показали, что внешне разрозненные дополнения были частью более крупной операции.

Записи о подписании также указывают, что активность началась как минимум в марте 2026 года. Вместе с повторным использованием кода и инфраструктуры они поддерживают вывод Socket о скоординированной кампании, а не о серии независимых вредоносных публикаций.

Что делать пользователям Firefox

Если вы устанавливали подозрительное расширение или вводили в него конфиденциальные данные, действуйте так, будто эта информация уже раскрыта:

1. Немедленно удалите расширение. Проверьте весь список дополнений Firefox, а не только то, которое вызвало подозрения.
2. Переведите криптоактивы в новый кошелёк, созданный с новой seed-фразой. Не используйте повторно раскрытую seed-фразу или приватный ключ.
3. Смените все пароли, введённые в расширение, начиная с паролей электронной почты, криптобирж и других аккаунтов, через которые можно восстановить доступ к активам. Включите многофакторную аутентификацию и отзовите активные сессии или API-ключи, если такая возможность предусмотрена.
4. Следите за кошельками и учётными записями на предмет несанкционированной активности.
5. Сообщите о расширении Mozilla и настоящему разработчику кошелька, чьё имя оно имитировало.

Seed-фразу, приватный ключ или импортированный keyring не следует считать безопасными только потому, что кража пока не обнаружена. Кампания была рассчитана на сбор данных, которые могут обеспечить доступ к аккаунту или активам позднее. Поэтому меры защиты нужно принять до появления подозрительных транзакций или других признаков взлома.

Главный вывод

Эта история показывает, что присутствие в официальном магазине и действительная подпись браузерного расширения сами по себе не доказывают его надёжность. В кампании сочетались поддельный брендинг Web3, повторно использованный код, перепрофилированные подписанные дополнения, удалённо управляемые фишинговые страницы и общая инфраструктура. В совокупности эти признаки оказались гораздо показательнее, чем проверка каждого расширения по отдельности.

Доступные данные убедительно подтверждают существование кампании из 77 расширений и факт кражи keyring-данных у пользователей Rabby. Однако их недостаточно, чтобы надёжно сопоставить каждый из четырёх кластеров с конкретным семейством расширений или установить личности организаторов операции.