研究人員相信，相關活動最少自 2026年3月已經存在，但目前未能將行動歸因於任何已知的黑客組織或威脅行動者。

惡意擴充功能想偷甚麼？

相關附加元件冒充包括 OKX、Rabby Wallet及TronLink在內的Web3產品，鎖定的資料包括：

• 加密貨幣錢包助記詞及私鑰
• 錢包密鑰環及其他序列化錢包資料
• 帳戶登入資料
• 剪貼簿內容——當中可能包括複製過的錢包地址，甚至秘密資料

其中一組針對Rabby Wallet的擴充功能涉及 13個冒充者。它們會在Rabby按照正常流程進行本機加密之前，先將序列化的錢包密鑰資料外洩，令資料在尚未受到本機加密保護時已落入營運者手中。

至於另外37個體育比分擴充功能，現有分析未確認它們本身是錢包竊取工具；它們與惡意附加元件的關聯，主要來自重疊的程式碼、基礎設施、發布模式及版本歷史。

四個惡意群組如何運作？

Socket將相關活動分成四個惡意群組。各群組未必使用完全相同的擴充功能設計，但就程式碼、發布操作及技術基礎設施等方面呈現共通訊號，令營運者可以透過不同錢包品牌及附加元件身份，分散整個行動。

部分擴充功能使用以下服務，令攻擊者更容易更改行動內容，亦增加調查難度：

• Cloudflare Workers：在部分群組中用作竊取資料的外洩通道。
• Supabase託管的基礎設施：支援可由遠程控制的釣魚內容。
• 硬編碼的指揮及控制伺服器：收集登入資料及剪貼簿內容。

這種設計代表惡意行為不一定要永久寫入每一個已發布版本。攻擊者可以遠程開啟或關閉釣魚頁面，而毋須重新提交擴充功能更新，減低商店審查或研究人員檢查某個版本時捕捉到活躍惡意行為的機會。

已簽署的擴充功能可被「變身」成錢包木馬

行動其中一個值得注意的逃避偵測手法，是重新利用原有版本及發布身份。最少 9個擴充功能最初是體育比分應用程式，後來才被更新成錢包惡意軟件。

這種做法可以讓附加元件在首次發布時看似沒有問題，先建立發布紀錄及用戶信任，之後才在較新的版本改變功能。今次研究中，Mozilla簽署紀錄、重疊的擴充功能身份、共用程式碼及基礎設施，協助研究人員將表面上互不相關的附加元件，連接到同一個較大型行動。

Mozilla的簽署紀錄顯示，相關活動最早可追溯至2026年3月。這些紀錄連同共用程式碼及基礎設施，支持Socket認為77個身份並非互不相關的惡意提交，而是一次有協調性的行動。

如果曾經輸入敏感資料，應該點做？

如果你安裝過可疑擴充功能，或者曾經在其中輸入過敏感資料，應按照資料已經外洩處理：

1. 立即移除擴充功能。 同時檢查Firefox內所有已安裝的附加元件，不要只處理目前引起你懷疑的那一個。
2. 將加密貨幣資產轉移至新建立的錢包，並使用全新的助記詞。切勿重用已外洩的助記詞或私鑰。
3. 更改曾在擴充功能內輸入的密碼，優先處理電郵、交易所及其他可用作恢復資產的帳戶。可行的話，啟用多重驗證，並撤銷現有登入工作階段或API密鑰。
4. 密切監察錢包及帳戶，留意未經授權的活動。
5. 向Mozilla及被冒充的正版錢包服務商舉報相關擴充功能。

即使暫時未見資產被盜，助記詞、私鑰或匯入過的錢包密鑰資料亦不應再視為安全。這次行動的目的正是收集日後可能用於登入帳戶或轉走資產的資料，因此應在可疑活動出現之前完成補救。

對用戶的提醒：有簽名不等於可信

今次事件說明，擴充功能出現在官方市場，或者擁有有效的瀏覽器簽署，均不足以單獨證明它值得信任。相關附加元件結合假冒Web3品牌、重用程式碼、重新利用已簽署擴充功能、遠程釣魚開關及共用基礎設施；當這些訊號放在一起分析時，比逐一檢查單個擴充功能更容易看出它們之間的關聯。

現有證據足以支持「77個擴充功能屬同一協同行動」的評估，以及Rabby密鑰資料在本機加密前被外洩的行為。不過，現有資料不足以可靠地將四個惡意群組逐一對應到特定擴充功能家族，亦未能確認幕後人士身份。

研究人員相信，相關活動最少自 2026年3月已經存在，但目前未能將行動歸因於任何已知的黑客組織或威脅行動者。

惡意擴充功能想偷甚麼？

相關附加元件冒充包括 OKX、Rabby Wallet及TronLink在內的Web3產品，鎖定的資料包括：

• 加密貨幣錢包助記詞及私鑰
• 錢包密鑰環及其他序列化錢包資料
• 帳戶登入資料
• 剪貼簿內容——當中可能包括複製過的錢包地址，甚至秘密資料

其中一組針對Rabby Wallet的擴充功能涉及 13個冒充者。它們會在Rabby按照正常流程進行本機加密之前，先將序列化的錢包密鑰資料外洩，令資料在尚未受到本機加密保護時已落入營運者手中。

至於另外37個體育比分擴充功能，現有分析未確認它們本身是錢包竊取工具；它們與惡意附加元件的關聯，主要來自重疊的程式碼、基礎設施、發布模式及版本歷史。

四個惡意群組如何運作？

Socket將相關活動分成四個惡意群組。各群組未必使用完全相同的擴充功能設計，但就程式碼、發布操作及技術基礎設施等方面呈現共通訊號，令營運者可以透過不同錢包品牌及附加元件身份，分散整個行動。

部分擴充功能使用以下服務，令攻擊者更容易更改行動內容，亦增加調查難度：

• Cloudflare Workers：在部分群組中用作竊取資料的外洩通道。
• Supabase託管的基礎設施：支援可由遠程控制的釣魚內容。
• 硬編碼的指揮及控制伺服器：收集登入資料及剪貼簿內容。

這種設計代表惡意行為不一定要永久寫入每一個已發布版本。攻擊者可以遠程開啟或關閉釣魚頁面，而毋須重新提交擴充功能更新，減低商店審查或研究人員檢查某個版本時捕捉到活躍惡意行為的機會。

已簽署的擴充功能可被「變身」成錢包木馬

行動其中一個值得注意的逃避偵測手法，是重新利用原有版本及發布身份。最少 9個擴充功能最初是體育比分應用程式，後來才被更新成錢包惡意軟件。

這種做法可以讓附加元件在首次發布時看似沒有問題，先建立發布紀錄及用戶信任，之後才在較新的版本改變功能。今次研究中，Mozilla簽署紀錄、重疊的擴充功能身份、共用程式碼及基礎設施，協助研究人員將表面上互不相關的附加元件，連接到同一個較大型行動。

Mozilla的簽署紀錄顯示，相關活動最早可追溯至2026年3月。這些紀錄連同共用程式碼及基礎設施，支持Socket認為77個身份並非互不相關的惡意提交，而是一次有協調性的行動。

如果曾經輸入敏感資料，應該點做？

如果你安裝過可疑擴充功能，或者曾經在其中輸入過敏感資料，應按照資料已經外洩處理：

1. 立即移除擴充功能。 同時檢查Firefox內所有已安裝的附加元件，不要只處理目前引起你懷疑的那一個。
2. 將加密貨幣資產轉移至新建立的錢包，並使用全新的助記詞。切勿重用已外洩的助記詞或私鑰。
3. 更改曾在擴充功能內輸入的密碼，優先處理電郵、交易所及其他可用作恢復資產的帳戶。可行的話，啟用多重驗證，並撤銷現有登入工作階段或API密鑰。
4. 密切監察錢包及帳戶，留意未經授權的活動。
5. 向Mozilla及被冒充的正版錢包服務商舉報相關擴充功能。

即使暫時未見資產被盜，助記詞、私鑰或匯入過的錢包密鑰資料亦不應再視為安全。這次行動的目的正是收集日後可能用於登入帳戶或轉走資產的資料，因此應在可疑活動出現之前完成補救。

對用戶的提醒：有簽名不等於可信

今次事件說明，擴充功能出現在官方市場，或者擁有有效的瀏覽器簽署，均不足以單獨證明它值得信任。相關附加元件結合假冒Web3品牌、重用程式碼、重新利用已簽署擴充功能、遠程釣魚開關及共用基礎設施；當這些訊號放在一起分析時，比逐一檢查單個擴充功能更容易看出它們之間的關聯。

現有證據足以支持「77個擴充功能屬同一協同行動」的評估，以及Rabby密鑰資料在本機加密前被外洩的行為。不過，現有資料不足以可靠地將四個惡意群組逐一對應到特定擴充功能家族，亦未能確認幕後人士身份。