Firefox 驚現 77 款可疑擴充功能：40 款冒充加密錢包竊取私密資料

其中一個針對 Rabby Wallet 的子集包含 13 款仿冒擴充功能。它們會在 Rabby 原本的本機加密程序啟動前，先將序列化的錢包金鑰圈資料外傳。換言之，攻擊者取得資料時，該資料尚未受到本機加密保護。

目前 उपलब्ध的分析並未確認那 37 款體育比分擴充功能本身是錢包竊取工具；研究人員是根據它們與惡意擴充功能之間重疊的程式碼、基礎設施、發布模式及版本歷史，判定兩者屬於同一個更大規模的發布行動。

四個惡意叢集如何運作？

Socket 將相關活動分為四個惡意叢集。這些叢集不一定使用完全相同的擴充功能設計，而是透過共通的技術與營運特徵彼此連結，讓行動能分散到不同錢包品牌及多個附加元件身分之下。

研究指出，部分擴充功能使用了以下服務，使攻擊者更容易變更行為，也增加檢查難度：

• 部分叢集利用 Cloudflare Workers 作為竊取資料的外傳通道。
• Supabase 託管的基礎設施被用來支援可遠端控制的釣魚內容。
• 其他擴充功能則把命令與控制伺服器硬編碼在程式中，用來收集憑證及剪貼簿資料。

這種設計代表，惡意行為不必永久寫死在每一個已發布的擴充功能版本中。操作方可以遠端開啟或關閉釣魚頁面，而不必重新提交擴充功能更新；如此一來，商店審查或研究人員檢查時，未必能捕捉到正在啟用的惡意行為。

已簽署的擴充功能也可能被後續改造

這場行動其中一個重要的規避偵測手法，是重新利用既有版本歷史。至少 9 款擴充功能最初是體育比分應用程式，後來才透過更新轉變為錢包惡意軟體。

這種做法能讓擴充功能在初次發布時看起來不那麼可疑：它可以先建立發布紀錄、累積使用者信任，之後才在較新的版本中改變行為。研究人員則透過 Mozilla 簽署紀錄、重疊的發布身分、共用程式碼及基礎設施，將表面上彼此獨立的擴充功能連回同一場行動。

Mozilla 的簽署紀錄也顯示，相關活動至少可追溯至 2026 年 3 月。這些紀錄與共用程式碼、基礎設施等線索相互印證，支持 Socket 認為這 77 個身分屬於協調行動，而非互不相關的惡意提交。

Firefox 使用者現在應該怎麼做？

如果你曾安裝可疑擴充功能，或在其中輸入過敏感資料，應先假設相關資訊已經外洩，並採取以下措施：

1. 立即移除擴充功能。 檢查 Firefox 中所有已安裝的附加元件，不要只處理目前引起你注意的那一款。
2. 將加密貨幣資產轉移到全新建立的錢包，並使用全新的助記詞。不要重複使用已暴露的種子短語或私鑰。
3. 更換曾在擴充功能中輸入的所有密碼，優先處理電郵、交易所及其他可用於復原資產的帳戶；同時啟用多因素驗證，並在可行時撤銷現有登入工作階段或 API 金鑰。
4. 持續監察錢包與帳戶，留意未經授權的活動。
5. 向 Mozilla 及遭冒充的正版錢包服務商舉報相關擴充功能。

即使目前尚未發現資產被盜，也不能因此認定助記詞、私鑰或匯入的錢包金鑰圈仍然安全。這場行動的目的正是收集可供日後存取帳戶或資產的資料，因此應在可疑活動出現前完成處置。

這場行動帶來的警示

這起事件說明，擴充功能出現在官方市集，或擁有有效的瀏覽器擴充功能簽署，並不足以單獨證明其可信。相關附加元件結合了仿冒 Web3 品牌、重複使用的程式碼、重新利用的已簽署擴充功能、可遠端切換的釣魚頁面，以及共用基礎設施。當這些訊號放在一起分析時，比單獨檢查某一款擴充功能更能揭示背後的關聯。

目前證據足以支持「77 款擴充功能構成同一場行動」的評估，也支持 Rabby 錢包金鑰圈遭外傳的分析。不過，現有資料仍不足以可靠地將四個叢集逐一對應到特定擴充功能家族，或確認幕後操作者身分。