I ricercatori di cybersecurity hanno scoperto 16 estensioni di browser dannose Firefox progettate per rubare frasi di recupero dei wallet di criptovalute e chiavi private. Le estensioni si spacciavano per portafogli crypto popolari e utility legittime del browser, potenzialmente mettendo a rischio gli asset digitali degli utenti.
According to security company Socket , la campagna ha principalmente mirato agli utenti di Rabby Wallet e OKX Wallet. Gli attaccanti hanno creato copie convincenti di questi servizi, facendo sembrare le estensioni strumenti legittimi per accedere o gestire le criptovalute.
Quattro delle estensioni imitavano Rabby Wallet, mentre altre 12 erano progettate per assomigliare a OKX Wallet. Alcune utilizzavano nomi leggermente modificati e interfacce familiari per ingannare gli utenti che cercavano software per wallet autentici.
I ricercatori di Socket hanno scoperto che le estensioni intercettavano informazioni sensibili quando gli utenti tentavano di importare un portafoglio di criptovalute esistente. Durante questo processo, alle vittime si poteva chiedere di inserire la loro frase di recupero, tipicamente una sequenza di 12 o 24 parole usata per ripristinare l’accesso ai propri fondi.
Invece di mantenere queste informazioni private, le estensioni malevole hanno tentato di trasmetterle ai server controllati dagli attaccanti. Socket ha scoperto che la campagna utilizzava l’infrastruttura Cloudflare Workers per ricevere credenziali di wallet rubate.
I ricercatori hanno anche identificato un’importante incoerenza nei permessi delle estensioni. Sebbene tutti e 16 abbiano dichiarato di non aver raccolto dati degli utenti, il loro codice sottostante conteneva funzioni progettate per catturare e trasmettere segreti dei wallet di criptovalute.
Non tutte le estensioni erano completamente operative. Socket identificò una versione contenente codice di furto di credenziali che non poteva funzionare come previsto a causa di errori di programmazione. Le restanti varianti includevano meccanismi funzionanti per estrarre informazioni sensibili.
Socket ritiene che l’operazione sia collegata a una campagna più ampia scoperta nell’agosto 2026, quando i ricercatori hanno identificato decine di estensioni sospette Firefox associate al furto di criptovalute. Le somiglianze nel loro codice, infrastruttura e metodi di distribuzione suggeriscono che gli attaccanti hanno continuato ad adattare il loro approccio.
Mozilla ha rimosso dalla pubblicazione le estensioni malevoli appena identificate entro il 5 ottobre. Tuttavia, rimuovere un’estensione non rende sicura una frase di recupero precedentemente esposta.
Socket avverte che chiunque abbia inserito una frase di recupero genuina o una chiave privata in una delle estensioni dannose funzionanti dovrebbe considerare quel wallet compromesso. Gli utenti interessati dovrebbero creare un nuovo wallet in un ambiente pulito e trasferire la loro criptovaluta il prima possibile.
I ricercatori raccomandano inoltre di installare estensioni per wallet solo tramite fonti ufficiali verificate e di controllare attentamente i loro nomi e editori. Anche estensioni con permessi limitati o dichiarazioni rassicuranti sulla privacy possono nascondere funzionalità pericolose.