这项活动至少从2026年3月开始活跃。目前，研究人员尚未将其归因于任何已知的攻击者或组织。

恶意扩展盯上了哪些数据

这些扩展冒充的Web3产品包括OKX、Rabby Wallet和TronLink。其目标数据包括：

• 加密货币钱包助记词和私钥
• 钱包密钥环及其他序列化钱包数据
• 账户登录凭据
• 剪贴板内容，其中可能包含复制的钱包地址或敏感信息

其中，针对Rabby Wallet的一个子集包含13个冒充扩展。它们会在Rabby正常执行本地加密之前，先窃取序列化的钱包密钥环数据。换言之，数据在进入本地加密保护环节前，就可能已经被传出。

目前的分析并未确认那37个体育比分扩展本身就是钱包窃取器。它们与恶意扩展之间的关联，主要来自重叠代码、共用基础设施、相似的发布模式以及扩展版本历史。

四个恶意集群如何运作

Socket将这项活动归为四个恶意集群。这些集群不一定使用完全相同的扩展外观，而是通过代码复用、基础设施和运营信号彼此关联，使攻击者能够同时伪装多个钱包品牌，并分散到不同的扩展身份下。

研究人员还发现，攻击者使用了一些便于远程调整、也增加分析难度的服务：

• 部分集群利用Cloudflare Workers作为窃取数据的外传通道。
• Supabase托管的基础设施被用于支持可远程控制的钓鱼内容。
• 另一些扩展则把命令与控制服务器硬编码在程序中，用于收集凭据和剪贴板数据。

这种设计意味着，恶意行为不必始终固定写入每个已发布版本。攻击者可以远程开启或关闭钓鱼页面，而无需重新提交扩展更新，从而降低应用商店审核或人工检查捕捉到实际恶意行为的概率。

已签名扩展也可能被“二次利用”

此次行动一个值得警惕的规避手法，是随着版本更新改变扩展用途。至少9个扩展最初是体育比分应用，后来被更新为钱包恶意软件。

这种做法可以让扩展在刚发布时显得不那么可疑：它可能先建立正常的发布历史、积累用户信任，之后再通过更新改变行为。研究人员结合Mozilla签名记录、重复出现的扩展身份、共用代码和基础设施，才将这些表面上彼此独立的扩展串联到同一项行动中。

Mozilla的签名记录显示，相关活动至少可以追溯到2026年3月。与共同代码和基础设施等证据结合后，这些记录支持Socket的判断：这更像是一场有组织的协同行动，而不是一批互不相关的恶意提交。

Firefox用户应该怎么做

如果你安装过可疑扩展，或曾在其中输入过敏感信息，应按照相关信息已经泄露来处理：

1. 立即删除扩展。 检查Firefox中所有已安装的扩展，不要只处理最先引起怀疑的那一个。
2. 将加密资产转移到新创建的钱包。 新钱包必须使用全新的助记词；不要继续使用已经暴露的助记词或私钥。
3. 更换在扩展中输入过的密码。 优先处理邮箱、交易平台以及其他可能用于找回资产的账户，并启用多因素认证；在支持的情况下，撤销现有会话和API密钥。
4. 持续监控钱包和账户。 留意未经授权的转账、登录和其他异常活动。
5. 举报相关扩展。 可向Mozilla以及被冒充的正规钱包服务商报告。

即使暂时没有发现资产被盗，也不能因此认为助记词、私钥或导入的钱包密钥环仍然安全。这项行动的目标正是收集可能在之后被用于访问账户或转移资产的数据，因此应在异常活动出现前完成处置。

这起事件说明了什么

扩展出现在官方市场中、拥有有效的浏览器扩展签名，都不足以单独证明其可信。此次关联行动同时利用了虚假的Web3品牌、复用代码、被重新利用的已签名扩展、可远程切换的钓鱼页面以及共用基础设施。将这些信号放在一起分析，比孤立检查某一个扩展更容易发现背后的关联。

现有证据足以支持“77个扩展构成协同活动”的判断，也支持关于Rabby密钥环被提前外传的分析。但目前公开信息不足以可靠地把四个恶意集群逐一对应到具体扩展家族，也无法确认幕后人员身份。

这项活动至少从2026年3月开始活跃。目前，研究人员尚未将其归因于任何已知的攻击者或组织。

恶意扩展盯上了哪些数据

这些扩展冒充的Web3产品包括OKX、Rabby Wallet和TronLink。其目标数据包括：

• 加密货币钱包助记词和私钥
• 钱包密钥环及其他序列化钱包数据
• 账户登录凭据
• 剪贴板内容，其中可能包含复制的钱包地址或敏感信息

其中，针对Rabby Wallet的一个子集包含13个冒充扩展。它们会在Rabby正常执行本地加密之前，先窃取序列化的钱包密钥环数据。换言之，数据在进入本地加密保护环节前，就可能已经被传出。

目前的分析并未确认那37个体育比分扩展本身就是钱包窃取器。它们与恶意扩展之间的关联，主要来自重叠代码、共用基础设施、相似的发布模式以及扩展版本历史。

四个恶意集群如何运作

Socket将这项活动归为四个恶意集群。这些集群不一定使用完全相同的扩展外观，而是通过代码复用、基础设施和运营信号彼此关联，使攻击者能够同时伪装多个钱包品牌，并分散到不同的扩展身份下。

研究人员还发现，攻击者使用了一些便于远程调整、也增加分析难度的服务：

• 部分集群利用Cloudflare Workers作为窃取数据的外传通道。
• Supabase托管的基础设施被用于支持可远程控制的钓鱼内容。
• 另一些扩展则把命令与控制服务器硬编码在程序中，用于收集凭据和剪贴板数据。

这种设计意味着，恶意行为不必始终固定写入每个已发布版本。攻击者可以远程开启或关闭钓鱼页面，而无需重新提交扩展更新，从而降低应用商店审核或人工检查捕捉到实际恶意行为的概率。

已签名扩展也可能被“二次利用”

此次行动一个值得警惕的规避手法，是随着版本更新改变扩展用途。至少9个扩展最初是体育比分应用，后来被更新为钱包恶意软件。

这种做法可以让扩展在刚发布时显得不那么可疑：它可能先建立正常的发布历史、积累用户信任，之后再通过更新改变行为。研究人员结合Mozilla签名记录、重复出现的扩展身份、共用代码和基础设施，才将这些表面上彼此独立的扩展串联到同一项行动中。

Mozilla的签名记录显示，相关活动至少可以追溯到2026年3月。与共同代码和基础设施等证据结合后，这些记录支持Socket的判断：这更像是一场有组织的协同行动，而不是一批互不相关的恶意提交。

Firefox用户应该怎么做

如果你安装过可疑扩展，或曾在其中输入过敏感信息，应按照相关信息已经泄露来处理：

1. 立即删除扩展。 检查Firefox中所有已安装的扩展，不要只处理最先引起怀疑的那一个。
2. 将加密资产转移到新创建的钱包。 新钱包必须使用全新的助记词；不要继续使用已经暴露的助记词或私钥。
3. 更换在扩展中输入过的密码。 优先处理邮箱、交易平台以及其他可能用于找回资产的账户，并启用多因素认证；在支持的情况下，撤销现有会话和API密钥。
4. 持续监控钱包和账户。 留意未经授权的转账、登录和其他异常活动。
5. 举报相关扩展。 可向Mozilla以及被冒充的正规钱包服务商报告。

即使暂时没有发现资产被盗，也不能因此认为助记词、私钥或导入的钱包密钥环仍然安全。这项行动的目标正是收集可能在之后被用于访问账户或转移资产的数据，因此应在异常活动出现前完成处置。

这起事件说明了什么

扩展出现在官方市场中、拥有有效的浏览器扩展签名，都不足以单独证明其可信。此次关联行动同时利用了虚假的Web3品牌、复用代码、被重新利用的已签名扩展、可远程切换的钓鱼页面以及共用基础设施。将这些信号放在一起分析，比孤立检查某一个扩展更容易发现背后的关联。

现有证据足以支持“77个扩展构成协同活动”的判断，也支持关于Rabby密钥环被提前外传的分析。但目前公开信息不足以可靠地把四个恶意集群逐一对应到具体扩展家族，也无法确认幕后人员身份。