40 skadliga Firefox-tillägg utgav sig för kryptoplånböcker

Socket Threat Research har upptäckt en samordnad kampanj med Firefox-tillägg som fått namnet ”Offside Wallet Theft Factory”. Forskarna kopplar samman 77 tilläggsidentiteter genom gemensam källkod, infrastruktur, publiceringsspår och versionshistorik. Av dessa bekräftades 40 vara skadliga och inriktade på kryptoplånböcker eller inloggningsuppgifter. Ytterligare 37 vilseledande tillägg för sportresultat verkar ha fungerat som täckmantel eller förberedande byggen.

Aktiviteten bedöms ha pågått sedan åtminstone mars 2026. Forskarna har inte kunnat knyta kampanjen till någon känd hotaktör eller grupp.

Vad de skadliga tilläggen försökte stjäla

Tilläggen utgav sig för att vara Web3-produkter som OKX, Rabby Wallet och TronLink. Måltavlorna omfattade bland annat:

• återställningsfraser och privatnycklar till kryptoplånböcker,
• plånboksnyckelringar och annan serialiserad plånboksdata,
• inloggningsuppgifter,
• innehåll i urklipp, där användare kan ha kopierat plånboksadresser eller hemliga uppgifter.

En delkampanj med fokus på Rabby omfattade 13 imitationer. De skickade iväg serialiserad data från plånboksnyckelringen innan Rabby hann genomföra sin normala lokala kryptering. Angriparna fick därmed tillgång till informationen i ett skede då den ännu inte skyddades av krypteringen.

De 37 tilläggen för sportresultat har inte bekräftats som plånboksstölder i den tillgängliga analysen. Kopplingen till de skadliga tilläggen bygger i stället på överlappande kod, infrastruktur, publiceringsmönster och versionshistorik.

Fyra kluster och fjärrstyrd infrastruktur

Socket delar in den skadliga aktiviteten i fyra kluster. Klustren hade gemensamma tekniska och operativa kännetecken, men använde inte nödvändigtvis exakt samma utformning. Det gjorde det möjligt att sprida kampanjen över flera plånboksvarumärken och tilläggsidentiteter.

Forskarna såg också hur tjänster användes för att göra kampanjen mer flexibel och svårare att granska:

• Cloudflare Workers fungerade i vissa kluster som kanaler för att skicka stulen data vidare.
• Supabase-baserad infrastruktur användes för fjärrstyrt nätfiskeinnehåll.
• Andra tillägg använde hårdkodade kommando- och kontrollservrar för att samla in inloggningsuppgifter och data från urklipp.

Upplägget innebar att det skadliga beteendet inte behövde vara permanent aktiverat i varje publicerad version. En nätfiskesida kunde slås på eller av på distans utan att angriparna behövde skicka in en ny version av tillägget. Det minskade risken för att en granskning eller en senare kontroll skulle fånga det aktiva beteendet.

Signerade tillägg fick ett nytt syfte

Ett viktigt tecken på hur kampanjen försökte undvika upptäckt var att befintliga tillägg återanvändes. Minst nio tillägg började som appar för sportresultat och uppdaterades senare till plånboksskadlig kod.

Metoden kan få ett tillägg att framstå som mindre misstänkt när det först publiceras. Ett tillägg kan bygga upp en publiceringshistorik och användarnas förtroende innan en senare version ändrar beteendet. I det här fallet kunde forskarna koppla ihop till synes separata tillägg genom Mozillas signeringsregister, överlappande identiteter, gemensam kod och återanvänd infrastruktur.

Mozillas signeringsregister visar dessutom att aktiviteten sträcker sig tillbaka till åtminstone mars 2026. Tillsammans med övriga tekniska spår stödjer registren Socket bedömning att de 77 identiteterna ingick i en samordnad kampanj, snarare än i en serie oberoende skadliga publiceringar.

Detta bör Firefox-användare göra

Om du har installerat ett misstänkt tillägg eller skrivit in känsliga uppgifter i det bör du agera som om uppgifterna är röjda:

1. Ta bort tillägget omedelbart. Gå igenom alla installerade Firefox-tillägg, inte bara det som först väckte misstanke.
2. Flytta kryptotillgångar till en ny plånbok med en ny återställningsfras. Återanvänd inte en röjd seed-fras eller privatnyckel.
3. Byt alla lösenord som du har angett i tillägget, med början på e-post-, börs- och andra konton som kan användas för att återställa åtkomst till tillgångarna. Aktivera flerfaktorsautentisering och återkalla aktiva sessioner eller API-nycklar där det är möjligt.
4. Övervaka plånböcker och konton efter obehörig aktivitet.
5. Rapportera tillägget till Mozilla och till den riktiga plånboksleverantör som tillägget utgav sig för att representera.

En återställningsfras, privatnyckel eller importerad plånboksnyckelring är inte säker bara för att ingen stöld har upptäckts ännu. Kampanjen var utformad för att samla in uppgifter som kan möjliggöra senare åtkomst till konton eller tillgångar. Åtgärderna bör därför vidtas innan misstänkt aktivitet blir synlig.

En påminnelse om vad som skapar förtroende

Kampanjen visar varför en plats i Mozillas tilläggsbutik och en giltig webbläsarsignatur inte räcker för att bevisa att ett tillägg är säkert. De kopplade tilläggen kombinerade falsk Web3-profilering, återanvänd kod, signerade tillägg som fått nya funktioner, fjärrstyrda nätfiskesidor och gemensam infrastruktur. När signalerna analyserades tillsammans blev de betydligt mer avslöjande än när varje tillägg granskades separat.

Det tillgängliga underlaget stöder bedömningen av en kampanj med 77 tillägg och beteendet där Rabby-nyckelringar skickades iväg före kryptering. Däremot finns det inte tillräckligt med detaljer för att på ett tillförlitligt sätt koppla vart och ett av de fyra klustren till en specifik tilläggsfamilj eller identifiera personerna bakom operationen.