Кампанія, за оцінкою дослідників, діяла щонайменше з березня 2026 року. Її не пов’язали з жодним відомим зловмисником чи групою.

Що викрадали шкідливі розширення

Доповнення видавали себе за Web3-продукти, зокрема OKX, Rabby Wallet і TronLink. Серед цілей були:

• seed-фрази для відновлення криптогаманців і приватні ключі;
• keyring-дані та інші серіалізовані дані гаманців;
• облікові дані користувачів;
• вміст буфера обміну, де можуть опинитися скопійовані адреси гаманців або секрети.

Окрема підгрупа з 13 підроблених розширень Rabby викрадала серіалізовані дані keyring ще до штатного локального шифрування Rabby. Тобто оператори отримували інформацію на етапі, коли локальний захист іще не мав її убезпечити.

37 розширень зі спортивними результатами не були підтверджені як викрадачі криптоданих у доступному аналізі. Їхній зв’язок зі шкідливими доповненнями встановили за збігами в коді, інфраструктурі, схемах публікації та історії версій.

Як була побудована кампанія

Socket розділила шкідливу активність на чотири кластери. Вони мали спільні технічні й операційні ознаки, але не обов’язково використовували однаковий дизайн розширень. Це дозволяло розподілити операцію між різними брендами гаманців та ідентичностями доповнень.

Для зміни інфраструктури й ускладнення аналізу зловмисники використовували кілька сервісів:

• Cloudflare Workers у деяких кластерах працювали як канали для виведення викрадених даних;
• інфраструктура на Supabase підтримувала дистанційно керований фішинговий контент;
• інші розширення зверталися до жорстко заданих серверів командування й контролю, які збирали облікові дані та інформацію з буфера обміну.

Такий підхід означав, що шкідлива поведінка не обов’язково була постійно вбудована в кожну опубліковану версію. Фішингову сторінку можна було дистанційно вмикати або вимикати без випуску нового оновлення розширення. Це зменшувало ймовірність того, що перевірка магазину доповнень зафіксує активну шкідливу функцію.

Підписані розширення згодом перетворювали на шкідливі

Однією з ключових ознак ухилення від виявлення стало повторне використання вже опублікованих і підписаних доповнень. Щонайменше дев’ять розширень спочатку були додатками зі спортивними результатами, а згодом їх оновили до версій зі шкідливим кодом для криптогаманців.

Ця схема допомагає доповненню спочатку виглядати безпечним: воно встигає сформувати історію публікацій і здобути довіру користувачів, перш ніж у новій версії змінить поведінку. У цьому випадку дослідникам допомогли зіставити, здавалося б, незалежні розширення записи про підписання Mozilla, спільний код, інфраструктуру та повторювані ідентичності.

Записи про підписання також показують, що активність тривала щонайменше з березня 2026 року. Разом зі спільним кодом та інфраструктурою вони підтверджують оцінку Socket: 77 ідентичностей, імовірно, були частинами скоординованої кампанії, а не набором не пов’язаних між собою шкідливих публікацій.

Що робити користувачам Firefox

Якщо ви встановлювали підозріле розширення або вводили в ньому чутливу інформацію, дійте так, ніби ці дані вже розкриті:

1. Негайно видаліть розширення. Перевірте всі встановлені доповнення Firefox, а не лише те, яке викликало підозру.
2. Переведіть криптоактиви на новий гаманець, створений із новою seed-фразою. Не використовуйте повторно скомпрометовану seed-фразу чи приватний ключ.
3. Змініть усі паролі, які вводили в розширенні. Почніть із електронної пошти, криптобірж та інших акаунтів, через які можна відновити доступ до активів. Увімкніть багатофакторну автентифікацію, а також відкличте активні сесії чи API-ключі, якщо це можливо.
4. Стежте за гаманцями й акаунтами та перевіряйте їх на наявність несанкціонованої активності.
5. Повідомте про розширення Mozilla і справжнього постачальника гаманця, під бренд якого воно маскувалося.

Seed-фразу, приватний ключ або імпортований keyring не слід вважати безпечними лише тому, що крадіжки ще не видно. Кампанія була розрахована на збір даних, які можуть забезпечити доступ до акаунтів або активів пізніше. Тому реагувати потрібно до появи підозрілих транзакцій чи інших ознак злому.

Головний висновок

Ця кампанія показує, що присутність у магазині доповнень і дійсний підпис браузерного розширення самі по собі не гарантують безпеки. Пов’язані доповнення поєднували підроблений Web3-брендинг, повторно використаний код, перепрофільовані підписані розширення, дистанційно керовані фішингові сторінки та спільну інфраструктуру. У сукупності ці сигнали виявилися значно інформативнішими, ніж перевірка кожного розширення окремо.

Доступні докази підтверджують оцінку кампанії зі 77 розширень і факт викрадення keyring-даних у підроблених доповненнях Rabby. Водночас їх недостатньо, щоб надійно зіставити кожен із чотирьох кластерів із конкретною родиною розширень або встановити, хто саме стоїть за операцією.

Кампанія, за оцінкою дослідників, діяла щонайменше з березня 2026 року. Її не пов’язали з жодним відомим зловмисником чи групою.

Що викрадали шкідливі розширення

Доповнення видавали себе за Web3-продукти, зокрема OKX, Rabby Wallet і TronLink. Серед цілей були:

• seed-фрази для відновлення криптогаманців і приватні ключі;
• keyring-дані та інші серіалізовані дані гаманців;
• облікові дані користувачів;
• вміст буфера обміну, де можуть опинитися скопійовані адреси гаманців або секрети.

Окрема підгрупа з 13 підроблених розширень Rabby викрадала серіалізовані дані keyring ще до штатного локального шифрування Rabby. Тобто оператори отримували інформацію на етапі, коли локальний захист іще не мав її убезпечити.

37 розширень зі спортивними результатами не були підтверджені як викрадачі криптоданих у доступному аналізі. Їхній зв’язок зі шкідливими доповненнями встановили за збігами в коді, інфраструктурі, схемах публікації та історії версій.

Як була побудована кампанія

Socket розділила шкідливу активність на чотири кластери. Вони мали спільні технічні й операційні ознаки, але не обов’язково використовували однаковий дизайн розширень. Це дозволяло розподілити операцію між різними брендами гаманців та ідентичностями доповнень.

Для зміни інфраструктури й ускладнення аналізу зловмисники використовували кілька сервісів:

• Cloudflare Workers у деяких кластерах працювали як канали для виведення викрадених даних;
• інфраструктура на Supabase підтримувала дистанційно керований фішинговий контент;
• інші розширення зверталися до жорстко заданих серверів командування й контролю, які збирали облікові дані та інформацію з буфера обміну.

Такий підхід означав, що шкідлива поведінка не обов’язково була постійно вбудована в кожну опубліковану версію. Фішингову сторінку можна було дистанційно вмикати або вимикати без випуску нового оновлення розширення. Це зменшувало ймовірність того, що перевірка магазину доповнень зафіксує активну шкідливу функцію.

Підписані розширення згодом перетворювали на шкідливі

Однією з ключових ознак ухилення від виявлення стало повторне використання вже опублікованих і підписаних доповнень. Щонайменше дев’ять розширень спочатку були додатками зі спортивними результатами, а згодом їх оновили до версій зі шкідливим кодом для криптогаманців.

Ця схема допомагає доповненню спочатку виглядати безпечним: воно встигає сформувати історію публікацій і здобути довіру користувачів, перш ніж у новій версії змінить поведінку. У цьому випадку дослідникам допомогли зіставити, здавалося б, незалежні розширення записи про підписання Mozilla, спільний код, інфраструктуру та повторювані ідентичності.

Записи про підписання також показують, що активність тривала щонайменше з березня 2026 року. Разом зі спільним кодом та інфраструктурою вони підтверджують оцінку Socket: 77 ідентичностей, імовірно, були частинами скоординованої кампанії, а не набором не пов’язаних між собою шкідливих публікацій.

Що робити користувачам Firefox

Якщо ви встановлювали підозріле розширення або вводили в ньому чутливу інформацію, дійте так, ніби ці дані вже розкриті:

1. Негайно видаліть розширення. Перевірте всі встановлені доповнення Firefox, а не лише те, яке викликало підозру.
2. Переведіть криптоактиви на новий гаманець, створений із новою seed-фразою. Не використовуйте повторно скомпрометовану seed-фразу чи приватний ключ.
3. Змініть усі паролі, які вводили в розширенні. Почніть із електронної пошти, криптобірж та інших акаунтів, через які можна відновити доступ до активів. Увімкніть багатофакторну автентифікацію, а також відкличте активні сесії чи API-ключі, якщо це можливо.
4. Стежте за гаманцями й акаунтами та перевіряйте їх на наявність несанкціонованої активності.
5. Повідомте про розширення Mozilla і справжнього постачальника гаманця, під бренд якого воно маскувалося.

Seed-фразу, приватний ключ або імпортований keyring не слід вважати безпечними лише тому, що крадіжки ще не видно. Кампанія була розрахована на збір даних, які можуть забезпечити доступ до акаунтів або активів пізніше. Тому реагувати потрібно до появи підозрілих транзакцій чи інших ознак злому.

Головний висновок

Ця кампанія показує, що присутність у магазині доповнень і дійсний підпис браузерного розширення самі по собі не гарантують безпеки. Пов’язані доповнення поєднували підроблений Web3-брендинг, повторно використаний код, перепрофільовані підписані розширення, дистанційно керовані фішингові сторінки та спільну інфраструктуру. У сукупності ці сигнали виявилися значно інформативнішими, ніж перевірка кожного розширення окремо.

Доступні докази підтверджують оцінку кампанії зі 77 розширень і факт викрадення keyring-даних у підроблених доповненнях Rabby. Водночас їх недостатньо, щоб надійно зіставити кожен із чотирьох кластерів із конкретною родиною розширень або встановити, хто саме стоїть за операцією.