40 tiện ích Firefox giả mạo ví crypto trong chiến dịch đánh cắp tài sản “Offside Wallet Theft Factory”
Socket liên kết 77 tiện ích Firefox với chiến dịch “Offside Wallet Theft Factory”; 40 tiện ích bị xác nhận là công cụ đánh cắp bí mật ví hoặc thông tin đăng nhập, còn 37 tiện ích giả dạng ứng dụng xem tỷ số thể thao. Các tiện ích nhắm tới cụm từ khôi phục, khóa riêng tư, keyring Rabby đã tuần tự hóa, mật khẩu và dữ...
Đăng bởiBiên tập bằng GPT-5.6 LunaHình ảnh được tạo bằng GPT Image 1.5
Socket liên kết 77 tiện ích Firefox với chiến dịch “Offside Wallet Theft Factory”; 40 tiện ích bị xác nhận là công cụ đánh cắp bí mật ví hoặc thông tin đăng nhập, còn 37 tiện ích giả dạng ứng dụng xem tỷ số thể thao.
Các tiện ích nhắm tới cụm từ khôi phục, khóa riêng tư, keyring Rabby đã tuần tự hóa, mật khẩu và dữ liệu clipboard; chúng tận dụng hạ tầng dùng chung cùng các cơ chế điều khiển lừa đảo từ xa để né phát hiện.
Nếu từng nhập cụm từ khôi phục, khóa riêng tư, mật khẩu hoặc keyring vào tiện ích đáng ngờ, người dùng nên xem dữ liệu đã bị lộ, gỡ tiện ích, chuyển tài sản sang ví mới và thay đổi thông tin xác thực liên quan.
What did Socket’s Threat Research team uncover about the “Offside Wallet Theft Factory”—a coordinated campaign active since at least March 2The Offside Wallet Theft Factory used fake Web3 extensions and shared infrastructure to target Firefox users.
Prompt AI
Create a landscape editorial hero image for this Studio Global article: What did Socket’s Threat Research team uncover about the “Offside Wallet Theft Factory”—a coordinated campaign active since at least March 2. Article summary: Socket identified a coordinated Firefox add-on operation it calls the “Offside Wallet Theft Factory”: 77 linked extension identities, of which 40 were confirmed wallet-secret or credential stealers and 37 were deceptive . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com
Nhóm nghiên cứu mối đe dọa của Socket đã phát hiện một chiến dịch tiện ích Firefox có tổ chức, được gọi là “Offside Wallet Theft Factory”. Chiến dịch liên kết 77 danh tính tiện ích thông qua mã nguồn, hạ tầng, dấu vết phát hành và lịch sử phiên bản dùng chung. Trong số đó, 40 tiện ích được xác nhận là độc hại, nhắm tới bí mật hoặc thông tin đăng nhập của ví tiền số; 37 tiện ích còn lại giả dạng công cụ xem tỷ số thể thao, có vẻ được dùng làm vỏ bọc hoặc bản dựng trung gian.
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Câu trả lời ngắn gọn cho "40 tiện ích Firefox giả mạo ví crypto trong chiến dịch đánh cắp tài sản “Offside Wallet Theft Factory”" là gì?
Socket liên kết 77 tiện ích Firefox với chiến dịch “Offside Wallet Theft Factory”; 40 tiện ích bị xác nhận là công cụ đánh cắp bí mật ví hoặc thông tin đăng nhập, còn 37 tiện ích giả dạng ứng dụng xem tỷ số thể thao.
Những điểm chính cần xác nhận đầu tiên là gì?
Socket liên kết 77 tiện ích Firefox với chiến dịch “Offside Wallet Theft Factory”; 40 tiện ích bị xác nhận là công cụ đánh cắp bí mật ví hoặc thông tin đăng nhập, còn 37 tiện ích giả dạng ứng dụng xem tỷ số thể thao. Các tiện ích nhắm tới cụm từ khôi phục, khóa riêng tư, keyring Rabby đã tuần tự hóa, mật khẩu và dữ liệu clipboard; chúng tận dụng hạ tầng dùng chung cùng các cơ chế điều khiển lừa đảo từ xa để né phát hiện.
Tôi nên làm gì tiếp theo trong thực tế?
Nếu từng nhập cụm từ khôi phục, khóa riêng tư, mật khẩu hoặc keyring vào tiện ích đáng ngờ, người dùng nên xem dữ liệu đã bị lộ, gỡ tiện ích, chuyển tài sản sang ví mới và thay đổi thông tin xác thực liên quan.
40 tiện ích Firefox giả mạo ví crypto trong chiến dịch đánh cắp tài sản “Offside Wallet Theft Factory”
Socket liên kết 77 tiện ích Firefox với chiến dịch “Offside Wallet Theft Factory”; 40 tiện ích bị xác nhận là công cụ đánh cắp bí mật ví hoặc thông tin đăng nhập, còn 37 tiện ích giả dạng ứng dụng xem tỷ số thể thao. Các tiện ích nhắm tới cụm từ khôi phục, khóa riêng tư, keyring Rabby đã tuần tự hóa, mật khẩu và dữ...
Đăng bởiBiên tập bằng GPT-5.6 LunaHình ảnh được tạo bằng GPT Image 1.5
Socket liên kết 77 tiện ích Firefox với chiến dịch “Offside Wallet Theft Factory”; 40 tiện ích bị xác nhận là công cụ đánh cắp bí mật ví hoặc thông tin đăng nhập, còn 37 tiện ích giả dạng ứng dụng xem tỷ số thể thao.
Các tiện ích nhắm tới cụm từ khôi phục, khóa riêng tư, keyring Rabby đã tuần tự hóa, mật khẩu và dữ liệu clipboard; chúng tận dụng hạ tầng dùng chung cùng các cơ chế điều khiển lừa đảo từ xa để né phát hiện.
Nếu từng nhập cụm từ khôi phục, khóa riêng tư, mật khẩu hoặc keyring vào tiện ích đáng ngờ, người dùng nên xem dữ liệu đã bị lộ, gỡ tiện ích, chuyển tài sản sang ví mới và thay đổi thông tin xác thực liên quan.
What did Socket’s Threat Research team uncover about the “Offside Wallet Theft Factory”—a coordinated campaign active since at least March 2The Offside Wallet Theft Factory used fake Web3 extensions and shared infrastructure to target Firefox users.
Prompt AI
Create a landscape editorial hero image for this Studio Global article: What did Socket’s Threat Research team uncover about the “Offside Wallet Theft Factory”—a coordinated campaign active since at least March 2. Article summary: Socket identified a coordinated Firefox add-on operation it calls the “Offside Wallet Theft Factory”: 77 linked extension identities, of which 40 were confirmed wallet-secret or credential stealers and 37 were deceptive . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com
Nhóm nghiên cứu mối đe dọa của Socket đã phát hiện một chiến dịch tiện ích Firefox có tổ chức, được gọi là “Offside Wallet Theft Factory”. Chiến dịch liên kết 77 danh tính tiện ích thông qua mã nguồn, hạ tầng, dấu vết phát hành và lịch sử phiên bản dùng chung. Trong số đó, 40 tiện ích được xác nhận là độc hại, nhắm tới bí mật hoặc thông tin đăng nhập của ví tiền số; 37 tiện ích còn lại giả dạng công cụ xem tỷ số thể thao, có vẻ được dùng làm vỏ bọc hoặc bản dựng trung gian.
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Câu trả lời ngắn gọn cho "40 tiện ích Firefox giả mạo ví crypto trong chiến dịch đánh cắp tài sản “Offside Wallet Theft Factory”" là gì?
Socket liên kết 77 tiện ích Firefox với chiến dịch “Offside Wallet Theft Factory”; 40 tiện ích bị xác nhận là công cụ đánh cắp bí mật ví hoặc thông tin đăng nhập, còn 37 tiện ích giả dạng ứng dụng xem tỷ số thể thao.
Những điểm chính cần xác nhận đầu tiên là gì?
Socket liên kết 77 tiện ích Firefox với chiến dịch “Offside Wallet Theft Factory”; 40 tiện ích bị xác nhận là công cụ đánh cắp bí mật ví hoặc thông tin đăng nhập, còn 37 tiện ích giả dạng ứng dụng xem tỷ số thể thao. Các tiện ích nhắm tới cụm từ khôi phục, khóa riêng tư, keyring Rabby đã tuần tự hóa, mật khẩu và dữ liệu clipboard; chúng tận dụng hạ tầng dùng chung cùng các cơ chế điều khiển lừa đảo từ xa để né phát hiện.
Tôi nên làm gì tiếp theo trong thực tế?
Nếu từng nhập cụm từ khôi phục, khóa riêng tư, mật khẩu hoặc keyring vào tiện ích đáng ngờ, người dùng nên xem dữ liệu đã bị lộ, gỡ tiện ích, chuyển tài sản sang ví mới và thay đổi thông tin xác thực liên quan.
Hoạt động này được cho là đã diễn ra ít nhất từ tháng 3 năm 2026. Các nhà nghiên cứu chưa quy chiến dịch cho bất kỳ tác nhân hay nhóm tấn công đã biết nào.
Các tiện ích độc hại nhắm tới dữ liệu nào?
Những tiện ích này giả mạo các sản phẩm Web3 như OKX, Rabby Wallet và TronLink. Dữ liệu bị nhắm tới gồm:
Cụm từ khôi phục và khóa riêng tư của tiền số
Keyring của ví cùng các dữ liệu ví đã được tuần tự hóa
Thông tin đăng nhập tài khoản
Nội dung clipboard, vốn có thể chứa địa chỉ ví hoặc thông tin bí mật được người dùng sao chép
Một nhóm tập trung vào Rabby gồm 13 tiện ích giả mạo. Chúng lấy cắp dữ liệu keyring đã tuần tự hóa trước khi Rabby thực hiện quy trình mã hóa cục bộ thông thường. Điều này cho phép kẻ vận hành tiếp cận dữ liệu tại thời điểm lớp mã hóa cục bộ chưa bảo vệ được nó.
Phân tích hiện có chưa xác nhận 37 tiện ích xem tỷ số thể thao là công cụ đánh cắp ví. Mối liên hệ của chúng với các tiện ích độc hại đến từ mã nguồn, hạ tầng, mô hình phát hành và lịch sử phiên bản trùng lặp.
Bốn cụm độc hại vận hành ra sao?
Socket phân loại hoạt động thành bốn cụm độc hại. Các cụm này chia sẻ những dấu hiệu kỹ thuật và vận hành, thay vì sử dụng một thiết kế tiện ích hoàn toàn giống nhau. Cách tổ chức đó giúp chiến dịch phân tán hoạt động qua nhiều thương hiệu ví và danh tính tiện ích khác nhau.
Một số thành phần hạ tầng được sử dụng để dễ thay đổi hành vi và gây khó khăn cho việc kiểm tra:
Cloudflare Workers được một số cụm dùng làm kênh chuyển dữ liệu bị đánh cắp ra ngoài.
Hạ tầng lưu trữ trên Supabase hỗ trợ nội dung lừa đảo có thể được điều khiển từ xa.
Một số tiện ích khác sử dụng máy chủ điều khiển và ra lệnh được mã hóa cứng để thu thập thông tin đăng nhập và dữ liệu clipboard.
Nhờ thiết kế này, hành vi độc hại không nhất thiết phải được nhúng cố định trong mọi phiên bản đã phát hành. Một trang lừa đảo do máy chủ điều khiển có thể được bật hoặc tắt mà không cần gửi bản cập nhật tiện ích mới, làm giảm khả năng hành vi đang hoạt động bị phát hiện trong một lần kiểm tra.
Tiện ích đã được ký bị chuyển đổi thành mã độc
Một dấu hiệu né tránh đáng chú ý của chiến dịch là việc tái sử dụng lịch sử phiên bản. Ít nhất chín tiện ích ban đầu là ứng dụng xem tỷ số thể thao, sau đó được cập nhật để trở thành mã độc nhắm tới ví.
Cách làm này có thể khiến tiện ích trông ít đáng ngờ hơn khi mới được phát hành: tiện ích có thời gian xây dựng lịch sử hoạt động và niềm tin từ người dùng trước khi một phiên bản sau thay đổi hành vi.
Trong trường hợp này, hồ sơ ký của Mozilla, các danh tính chồng lấn, mã nguồn tương đồng và hạ tầng dùng chung giúp các nhà nghiên cứu kết nối những tiện ích có vẻ độc lập thành một chiến dịch rộng hơn.
Hồ sơ ký cũng cho thấy hoạt động đã bắt đầu ít nhất từ tháng 3 năm 2026. Kết hợp với mã nguồn và hạ tầng trùng lặp, dữ liệu này củng cố đánh giá của Socket rằng 77 danh tính tiện ích là một chiến dịch có phối hợp, thay vì các lần phát hành độc hại không liên quan.
Người dùng Firefox nên làm gì?
Nếu từng cài một tiện ích đáng ngờ hoặc nhập thông tin nhạy cảm vào đó, hãy xử lý như thể dữ liệu đã bị lộ:
Gỡ tiện ích ngay lập tức. Kiểm tra toàn bộ tiện ích Firefox đang cài, không chỉ tiện ích khiến bạn nghi ngờ.
Chuyển tài sản tiền số sang một ví mới với cụm từ khôi phục mới. Không sử dụng lại seed phrase hoặc khóa riêng tư đã bị lộ.
Đổi mọi mật khẩu từng nhập vào tiện ích, ưu tiên email, sàn giao dịch và các tài khoản có thể được dùng để khôi phục tài sản. Bật xác thực đa yếu tố, đồng thời thu hồi các phiên đăng nhập hoặc khóa API đang hoạt động nếu dịch vụ hỗ trợ.
Theo dõi ví và tài khoản để phát hiện hoạt động trái phép.
Báo cáo tiện ích cho Mozilla và nhà cung cấp ví hợp pháp bị giả mạo.
Cụm từ khôi phục, khóa riêng tư hoặc keyring ví đã nhập vào tiện ích đáng ngờ không nên được xem là an toàn chỉ vì chưa phát hiện giao dịch đánh cắp. Chiến dịch được thiết kế để thu thập dữ liệu có thể mở đường cho việc truy cập tài khoản hoặc tài sản về sau, vì vậy cần khắc phục trước khi xuất hiện dấu hiệu bất thường.
Bài học lớn hơn về việc cài tiện ích
Sự hiện diện trên kho tiện ích và chữ ký hợp lệ của trình duyệt không đủ để chứng minh một tiện ích đáng tin cậy. Chiến dịch này kết hợp thương hiệu Web3 giả, mã nguồn tái sử dụng, tiện ích đã ký nhưng bị chuyển đổi, cơ chế bật tắt trang lừa đảo từ xa và hạ tầng dùng chung. Khi được phân tích cùng nhau, các dấu hiệu này có giá trị hơn nhiều so với việc kiểm tra từng tiện ích riêng lẻ.
Bằng chứng hiện có ủng hộ đánh giá về chiến dịch gồm 77 tiện ích và hành vi lấy cắp keyring của Rabby. Tuy nhiên, dữ liệu chưa đủ chi tiết để xác định đáng tin cậy từng cụm trong bốn cụm tương ứng với họ tiện ích cụ thể nào, cũng như chưa cho biết những người đứng sau hoạt động này.
Hoạt động này được cho là đã diễn ra ít nhất từ tháng 3 năm 2026. Các nhà nghiên cứu chưa quy chiến dịch cho bất kỳ tác nhân hay nhóm tấn công đã biết nào.
Các tiện ích độc hại nhắm tới dữ liệu nào?
Những tiện ích này giả mạo các sản phẩm Web3 như OKX, Rabby Wallet và TronLink. Dữ liệu bị nhắm tới gồm:
Cụm từ khôi phục và khóa riêng tư của tiền số
Keyring của ví cùng các dữ liệu ví đã được tuần tự hóa
Thông tin đăng nhập tài khoản
Nội dung clipboard, vốn có thể chứa địa chỉ ví hoặc thông tin bí mật được người dùng sao chép
Một nhóm tập trung vào Rabby gồm 13 tiện ích giả mạo. Chúng lấy cắp dữ liệu keyring đã tuần tự hóa trước khi Rabby thực hiện quy trình mã hóa cục bộ thông thường. Điều này cho phép kẻ vận hành tiếp cận dữ liệu tại thời điểm lớp mã hóa cục bộ chưa bảo vệ được nó.
Phân tích hiện có chưa xác nhận 37 tiện ích xem tỷ số thể thao là công cụ đánh cắp ví. Mối liên hệ của chúng với các tiện ích độc hại đến từ mã nguồn, hạ tầng, mô hình phát hành và lịch sử phiên bản trùng lặp.
Bốn cụm độc hại vận hành ra sao?
Socket phân loại hoạt động thành bốn cụm độc hại. Các cụm này chia sẻ những dấu hiệu kỹ thuật và vận hành, thay vì sử dụng một thiết kế tiện ích hoàn toàn giống nhau. Cách tổ chức đó giúp chiến dịch phân tán hoạt động qua nhiều thương hiệu ví và danh tính tiện ích khác nhau.
Một số thành phần hạ tầng được sử dụng để dễ thay đổi hành vi và gây khó khăn cho việc kiểm tra:
Cloudflare Workers được một số cụm dùng làm kênh chuyển dữ liệu bị đánh cắp ra ngoài.
Hạ tầng lưu trữ trên Supabase hỗ trợ nội dung lừa đảo có thể được điều khiển từ xa.
Một số tiện ích khác sử dụng máy chủ điều khiển và ra lệnh được mã hóa cứng để thu thập thông tin đăng nhập và dữ liệu clipboard.
Nhờ thiết kế này, hành vi độc hại không nhất thiết phải được nhúng cố định trong mọi phiên bản đã phát hành. Một trang lừa đảo do máy chủ điều khiển có thể được bật hoặc tắt mà không cần gửi bản cập nhật tiện ích mới, làm giảm khả năng hành vi đang hoạt động bị phát hiện trong một lần kiểm tra.
Tiện ích đã được ký bị chuyển đổi thành mã độc
Một dấu hiệu né tránh đáng chú ý của chiến dịch là việc tái sử dụng lịch sử phiên bản. Ít nhất chín tiện ích ban đầu là ứng dụng xem tỷ số thể thao, sau đó được cập nhật để trở thành mã độc nhắm tới ví.
Cách làm này có thể khiến tiện ích trông ít đáng ngờ hơn khi mới được phát hành: tiện ích có thời gian xây dựng lịch sử hoạt động và niềm tin từ người dùng trước khi một phiên bản sau thay đổi hành vi.
Trong trường hợp này, hồ sơ ký của Mozilla, các danh tính chồng lấn, mã nguồn tương đồng và hạ tầng dùng chung giúp các nhà nghiên cứu kết nối những tiện ích có vẻ độc lập thành một chiến dịch rộng hơn.
Hồ sơ ký cũng cho thấy hoạt động đã bắt đầu ít nhất từ tháng 3 năm 2026. Kết hợp với mã nguồn và hạ tầng trùng lặp, dữ liệu này củng cố đánh giá của Socket rằng 77 danh tính tiện ích là một chiến dịch có phối hợp, thay vì các lần phát hành độc hại không liên quan.
Người dùng Firefox nên làm gì?
Nếu từng cài một tiện ích đáng ngờ hoặc nhập thông tin nhạy cảm vào đó, hãy xử lý như thể dữ liệu đã bị lộ:
Gỡ tiện ích ngay lập tức. Kiểm tra toàn bộ tiện ích Firefox đang cài, không chỉ tiện ích khiến bạn nghi ngờ.
Chuyển tài sản tiền số sang một ví mới với cụm từ khôi phục mới. Không sử dụng lại seed phrase hoặc khóa riêng tư đã bị lộ.
Đổi mọi mật khẩu từng nhập vào tiện ích, ưu tiên email, sàn giao dịch và các tài khoản có thể được dùng để khôi phục tài sản. Bật xác thực đa yếu tố, đồng thời thu hồi các phiên đăng nhập hoặc khóa API đang hoạt động nếu dịch vụ hỗ trợ.
Theo dõi ví và tài khoản để phát hiện hoạt động trái phép.
Báo cáo tiện ích cho Mozilla và nhà cung cấp ví hợp pháp bị giả mạo.
Cụm từ khôi phục, khóa riêng tư hoặc keyring ví đã nhập vào tiện ích đáng ngờ không nên được xem là an toàn chỉ vì chưa phát hiện giao dịch đánh cắp. Chiến dịch được thiết kế để thu thập dữ liệu có thể mở đường cho việc truy cập tài khoản hoặc tài sản về sau, vì vậy cần khắc phục trước khi xuất hiện dấu hiệu bất thường.
Bài học lớn hơn về việc cài tiện ích
Sự hiện diện trên kho tiện ích và chữ ký hợp lệ của trình duyệt không đủ để chứng minh một tiện ích đáng tin cậy. Chiến dịch này kết hợp thương hiệu Web3 giả, mã nguồn tái sử dụng, tiện ích đã ký nhưng bị chuyển đổi, cơ chế bật tắt trang lừa đảo từ xa và hạ tầng dùng chung. Khi được phân tích cùng nhau, các dấu hiệu này có giá trị hơn nhiều so với việc kiểm tra từng tiện ích riêng lẻ.
Bằng chứng hiện có ủng hộ đánh giá về chiến dịch gồm 77 tiện ích và hành vi lấy cắp keyring của Rabby. Tuy nhiên, dữ liệu chưa đủ chi tiết để xác định đáng tin cậy từng cụm trong bốn cụm tương ứng với họ tiện ích cụ thể nào, cũng như chưa cho biết những người đứng sau hoạt động này.
thehackernews.com40 Malicious Firefox Extensions Pose as Web3 Products to ...
socket.dev77 Firefox Extensions Linked to Crypto Wallet and Credential Theft
daily.dev77 Firefox Extensions Linked to Crypto Wallet and...
cybersecuritynews.com15 Malicious Firefox Extensions Abuse Cloudflare Workers to Exfiltrate Crypto Wallet Secrets