Faaliyetin en az Mart 2026’dan beri sürdüğü değerlendiriliyor. Araştırmacılar operasyonu bilinen belirli bir tehdit aktörüne veya gruba bağlamış değil.

Kötü amaçlı eklentiler neyi hedefledi?

Eklentiler, OKX, Rabby Wallet ve TronLink gibi Web3 ürünlerini taklit etti. Hedef alınan veriler arasında şunlar yer aldı:

• Kripto para kurtarma ifadeleri ve özel anahtarlar
• Cüzdan anahtarlıkları ve diğer serileştirilmiş cüzdan verileri
• Hesap giriş bilgileri
• Kopyalanan cüzdan adresleri veya gizli bilgiler de içerebilen pano içeriği

Rabby Wallet’ı taklit eden alt kümede 13 eklenti, serileştirilmiş cüzdan anahtarlığı verilerini Rabby’nin normal yerel şifreleme sürecinden önce dışarı aktardı. Böylece saldırganlar, veriler yerel şifrelemeyle korunmadan önce bu bilgilere erişebildi.

Mevcut analizlerde, spor skorlarını gösteren 37 eklentinin cüzdan hırsızı olduğu doğrulanmadı. Bu eklentiler kötü amaçlı eklentilerle; ortak kod, altyapı, yayınlama biçimleri ve sürüm geçmişleri gibi işaretler üzerinden ilişkilendirildi.

Dört kötü amaçlı küme nasıl çalıştı?

Socket, operasyonu dört kötü amaçlı kümeye ayırdı. Bu kümeler tek bir eklenti tasarımının kopyalanmasına dayanmak yerine ortak teknik ve operasyonel izler taşıyordu. Bu yapı, kampanyanın farklı cüzdan markaları ve eklenti kimlikleri üzerinden dağıtılmasını kolaylaştırdı.

Eklentiler ayrıca operasyonun uzaktan değiştirilebilmesini ve incelenmesini zorlaştıran hizmetlerden yararlandı:

• Bazı kümelerde çalınan verilerin aktarılması için Cloudflare Workers kullanıldı.
• Supabase üzerinde barındırılan altyapı, uzaktan kontrol edilen kimlik avı içeriklerini destekledi.
• Bazı eklentiler ise kullanıcı bilgilerini ve pano verilerini toplamak için sabit kodlanmış komuta-kontrol sunucularına bağlandı.

Bu yöntemler, kötü amaçlı davranışın her yayınlanmış eklenti sürümüne kalıcı olarak gömülmesini gerektirmiyordu. Uzaktan kontrol edilen bir kimlik avı sayfası, yeni bir eklenti güncellemesi gönderilmeden etkinleştirilebiliyor veya kapatılabiliyordu. Bu da mağaza incelemesi sırasında ya da sonradan yapılan kontrollerde aktif kötü amaçlı davranışın yakalanma ihtimalini azaltıyordu.

İmzalı eklentiler sonradan cüzdan zararlısına dönüştürüldü

Kampanyanın dikkat çeken kaçınma yöntemlerinden biri, eklentilerin sürüm geçmişlerinin yeniden kullanılmasıydı. En az dokuz eklenti, başlangıçta spor skorları uygulaması olarak yayınlandı; daha sonra cüzdan zararlısına dönüştürüldü.

Bu yaklaşım, eklentinin ilk yayınlandığı dönemde daha az şüpheli görünmesini sağlayabilir. Bir eklenti, daha sonra davranışını değiştirmeden önce yayın geçmişi oluşturup kullanıcı güveni kazanabilir. Bu olayda Mozilla’nın imzalama kayıtları, ortak kod, örtüşen kimlikler ve paylaşılan altyapı; ilk bakışta ayrı görünen eklentilerin aynı operasyonla bağlantısını ortaya koydu.

Mozilla’nın imzalama kayıtları, faaliyetin en az Mart 2026’ya kadar uzandığını da gösterdi. Bu kayıtlar, ortak kod ve altyapıyla birlikte değerlendirildiğinde 77 kimliğin birbirinden bağımsız kötü amaçlı gönderimler değil, koordineli bir kampanyanın parçaları olduğu görüşünü destekliyor.

Firefox kullanıcıları ne yapmalı?

Şüpheli eklentilerden birini yüklediyseniz veya bu eklentiye hassas bilgi girdiyseniz, söz konusu bilgilerin ele geçirilmiş olduğunu varsayarak hareket edin:

1. Eklentiyi hemen kaldırın. Sadece şüphe uyandıran eklentiyi değil, Firefox’ta yüklü tüm eklentileri gözden geçirin.
2. Kripto varlıklarınızı yeni oluşturulmuş bir cüzdana taşıyın. Yeni cüzdan için yeni bir kurtarma ifadesi kullanın; açığa çıkan kurtarma ifadesini veya özel anahtarı tekrar kullanmayın.
3. Eklentiye girdiğiniz parolaları değiştirin. Önceliği e-posta, kripto para borsası ve varlık kurtarma amacıyla kullanılabilecek diğer hesaplara verin. Çok faktörlü kimlik doğrulamayı etkinleştirin; mümkünse aktif oturumları ve API anahtarlarını iptal edin.
4. Cüzdanlarınızı ve hesaplarınızı izleyin. Yetkisiz işlemleri ve şüpheli girişleri kontrol edin.
5. Eklentiyi Mozilla’ya ve taklit edilen gerçek cüzdan sağlayıcısına bildirin.

Henüz bir hırsızlık gerçekleşmemiş olması, kurtarma ifadesinin, özel anahtarın veya içe aktarılan cüzdan anahtarlığının güvenli olduğu anlamına gelmez. Kampanya, daha sonra hesaplara veya varlıklara erişim sağlayabilecek verileri toplamak üzere tasarlanmıştı. Bu nedenle şüpheli hareketleri beklemeden önlem alınması gerekiyor.

Kampanyanın daha geniş anlamı

Bu olay, bir eklentinin Firefox mağazasında yer almasının veya geçerli bir tarayıcı eklentisi imzası taşımasının tek başına güven göstergesi olmadığını ortaya koyuyor. Bağlantılı eklentiler; sahte Web3 markalaması, yeniden kullanılan kod, sonradan amacı değiştirilen imzalı eklentiler, uzaktan açılıp kapatılabilen kimlik avı sayfaları ve ortak altyapıyı bir arada kullandı. Bu işaretler tek tek incelendiğinde olduğundan daha zayıf görünebilirken birlikte analiz edildiğinde kampanyanın yapısını ortaya çıkardı.

Mevcut kanıtlar, 77 eklentilik kampanya değerlendirmesini ve Rabby anahtarlıklarının dışarı aktarılması davranışını destekliyor. Ancak eldeki bilgiler, dört kümenin her birini belirli bir eklenti ailesine güvenilir biçimde eşleştirmek veya operasyonun arkasındaki kişileri belirlemek için yeterli değil.

Faaliyetin en az Mart 2026’dan beri sürdüğü değerlendiriliyor. Araştırmacılar operasyonu bilinen belirli bir tehdit aktörüne veya gruba bağlamış değil.

Kötü amaçlı eklentiler neyi hedefledi?

Eklentiler, OKX, Rabby Wallet ve TronLink gibi Web3 ürünlerini taklit etti. Hedef alınan veriler arasında şunlar yer aldı:

• Kripto para kurtarma ifadeleri ve özel anahtarlar
• Cüzdan anahtarlıkları ve diğer serileştirilmiş cüzdan verileri
• Hesap giriş bilgileri
• Kopyalanan cüzdan adresleri veya gizli bilgiler de içerebilen pano içeriği

Rabby Wallet’ı taklit eden alt kümede 13 eklenti, serileştirilmiş cüzdan anahtarlığı verilerini Rabby’nin normal yerel şifreleme sürecinden önce dışarı aktardı. Böylece saldırganlar, veriler yerel şifrelemeyle korunmadan önce bu bilgilere erişebildi.

Mevcut analizlerde, spor skorlarını gösteren 37 eklentinin cüzdan hırsızı olduğu doğrulanmadı. Bu eklentiler kötü amaçlı eklentilerle; ortak kod, altyapı, yayınlama biçimleri ve sürüm geçmişleri gibi işaretler üzerinden ilişkilendirildi.

Dört kötü amaçlı küme nasıl çalıştı?

Socket, operasyonu dört kötü amaçlı kümeye ayırdı. Bu kümeler tek bir eklenti tasarımının kopyalanmasına dayanmak yerine ortak teknik ve operasyonel izler taşıyordu. Bu yapı, kampanyanın farklı cüzdan markaları ve eklenti kimlikleri üzerinden dağıtılmasını kolaylaştırdı.

Eklentiler ayrıca operasyonun uzaktan değiştirilebilmesini ve incelenmesini zorlaştıran hizmetlerden yararlandı:

• Bazı kümelerde çalınan verilerin aktarılması için Cloudflare Workers kullanıldı.
• Supabase üzerinde barındırılan altyapı, uzaktan kontrol edilen kimlik avı içeriklerini destekledi.
• Bazı eklentiler ise kullanıcı bilgilerini ve pano verilerini toplamak için sabit kodlanmış komuta-kontrol sunucularına bağlandı.

Bu yöntemler, kötü amaçlı davranışın her yayınlanmış eklenti sürümüne kalıcı olarak gömülmesini gerektirmiyordu. Uzaktan kontrol edilen bir kimlik avı sayfası, yeni bir eklenti güncellemesi gönderilmeden etkinleştirilebiliyor veya kapatılabiliyordu. Bu da mağaza incelemesi sırasında ya da sonradan yapılan kontrollerde aktif kötü amaçlı davranışın yakalanma ihtimalini azaltıyordu.

İmzalı eklentiler sonradan cüzdan zararlısına dönüştürüldü

Kampanyanın dikkat çeken kaçınma yöntemlerinden biri, eklentilerin sürüm geçmişlerinin yeniden kullanılmasıydı. En az dokuz eklenti, başlangıçta spor skorları uygulaması olarak yayınlandı; daha sonra cüzdan zararlısına dönüştürüldü.

Bu yaklaşım, eklentinin ilk yayınlandığı dönemde daha az şüpheli görünmesini sağlayabilir. Bir eklenti, daha sonra davranışını değiştirmeden önce yayın geçmişi oluşturup kullanıcı güveni kazanabilir. Bu olayda Mozilla’nın imzalama kayıtları, ortak kod, örtüşen kimlikler ve paylaşılan altyapı; ilk bakışta ayrı görünen eklentilerin aynı operasyonla bağlantısını ortaya koydu.

Mozilla’nın imzalama kayıtları, faaliyetin en az Mart 2026’ya kadar uzandığını da gösterdi. Bu kayıtlar, ortak kod ve altyapıyla birlikte değerlendirildiğinde 77 kimliğin birbirinden bağımsız kötü amaçlı gönderimler değil, koordineli bir kampanyanın parçaları olduğu görüşünü destekliyor.

Firefox kullanıcıları ne yapmalı?

Şüpheli eklentilerden birini yüklediyseniz veya bu eklentiye hassas bilgi girdiyseniz, söz konusu bilgilerin ele geçirilmiş olduğunu varsayarak hareket edin:

1. Eklentiyi hemen kaldırın. Sadece şüphe uyandıran eklentiyi değil, Firefox’ta yüklü tüm eklentileri gözden geçirin.
2. Kripto varlıklarınızı yeni oluşturulmuş bir cüzdana taşıyın. Yeni cüzdan için yeni bir kurtarma ifadesi kullanın; açığa çıkan kurtarma ifadesini veya özel anahtarı tekrar kullanmayın.
3. Eklentiye girdiğiniz parolaları değiştirin. Önceliği e-posta, kripto para borsası ve varlık kurtarma amacıyla kullanılabilecek diğer hesaplara verin. Çok faktörlü kimlik doğrulamayı etkinleştirin; mümkünse aktif oturumları ve API anahtarlarını iptal edin.
4. Cüzdanlarınızı ve hesaplarınızı izleyin. Yetkisiz işlemleri ve şüpheli girişleri kontrol edin.
5. Eklentiyi Mozilla’ya ve taklit edilen gerçek cüzdan sağlayıcısına bildirin.

Henüz bir hırsızlık gerçekleşmemiş olması, kurtarma ifadesinin, özel anahtarın veya içe aktarılan cüzdan anahtarlığının güvenli olduğu anlamına gelmez. Kampanya, daha sonra hesaplara veya varlıklara erişim sağlayabilecek verileri toplamak üzere tasarlanmıştı. Bu nedenle şüpheli hareketleri beklemeden önlem alınması gerekiyor.

Kampanyanın daha geniş anlamı

Bu olay, bir eklentinin Firefox mağazasında yer almasının veya geçerli bir tarayıcı eklentisi imzası taşımasının tek başına güven göstergesi olmadığını ortaya koyuyor. Bağlantılı eklentiler; sahte Web3 markalaması, yeniden kullanılan kod, sonradan amacı değiştirilen imzalı eklentiler, uzaktan açılıp kapatılabilen kimlik avı sayfaları ve ortak altyapıyı bir arada kullandı. Bu işaretler tek tek incelendiğinde olduğundan daha zayıf görünebilirken birlikte analiz edildiğinde kampanyanın yapısını ortaya çıkardı.

Mevcut kanıtlar, 77 eklentilik kampanya değerlendirmesini ve Rabby anahtarlıklarının dışarı aktarılması davranışını destekliyor. Ancak eldeki bilgiler, dört kümenin her birini belirli bir eklenti ailesine güvenilir biçimde eşleştirmek veya operasyonun arkasındaki kişileri belirlemek için yeterli değil.