Cybersecurityonderzoekers hebben 16 kwaadaardige Firefox browserextensies ontdekt die bedoeld zijn om cryptowallet-herstelzinnen en privésleutels te stelen. De extensies deden zich voor als populaire cryptowallets en legitieme browserprogramma’s, waardoor de digitale activa van gebruikers mogelijk in gevaar kwamen.
According to security company Socket , richtte de campagne zich voornamelijk op gebruikers van Rabby Wallet en OKX Wallet. De aanvallers maakten overtuigende kopieën van deze diensten, waardoor de extensies leken legitieme tools te zijn voor toegang tot of beheer van cryptocurrency.
Vier van de extensies imiteerden Rabby Wallet, terwijl nog eens 12 waren ontworpen om op OKX Wallet te lijken. Sommige gebruikten licht aangepaste namen en vertrouwd ogende interfaces om gebruikers te misleiden die op zoek waren naar echte walletsoftware.
Socket-onderzoekers ontdekten dat de extensies gevoelige informatie onderschepten wanneer gebruikers probeerden een bestaande cryptowallet te importeren. Tijdens dit proces konden slachtoffers worden gevraagd hun herstelzin in te voeren, meestal een reeks van 12 of 24 woorden die werden gebruikt om de toegang tot hun fondsen te herstellen.
In plaats van deze informatie privé te houden, probeerden de kwaadaardige extensies deze naar servers te sturen die door de aanvallers werden gecontroleerd. Socket ontdekte dat de campagne Cloudflare Workers-infrastructuur gebruikte om gestolen wallet-inloggegevens te ontvangen.
De onderzoekers identificeerden ook een belangrijke inconsistentie in de permissies van de extensies. Hoewel alle 16 verklaarden dat ze geen gebruikersgegevens verzamelden, bevatte hun onderliggende code functies die bedoeld waren om cryptowalletgeheimen vast te leggen en te verzenden.
Niet elke extensie was volledig operationeel. Socket identificeerde één versie met code voor het stelen van gegevens die niet kon functioneren zoals bedoeld vanwege programmeerfouten. De overige varianten bevatten werkende mechanismen om gevoelige informatie te extraheren.
Socket denkt dat de operatie verband houdt met een grotere campagne die in augustus 2026 werd ontdekt, toen onderzoekers tientallen verdachte Firefox extensies in verband houden met cryptodiefstal identificeerden. Overeenkomsten in hun code, infrastructuur en distributiemethoden suggereren dat de aanvallers hun aanpak bleven aanpassen.
Mozilla verwijderde de nieuw geïdentificeerde kwaadaardige extensies uiterlijk 5 oktober uit publicatie. Het verwijderen van een extensie maakt een eerder blootgestelde herstelzin echter niet veilig.
Socket waarschuwt dat iedereen die een echte herstelzin of privésleutel in een van de werkende kwaadaardige extensies heeft ingevoerd, die wallet als gecompromitteerd moet beschouwen. Getroffen gebruikers moeten zo snel mogelijk een nieuwe wallet aanmaken in een schone omgeving en hun cryptocurrency daar zo snel mogelijk naartoe overzetten.
De onderzoekers raden ook aan om wallet-extensies alleen via geverifieerde officiële bronnen te installeren en hun namen en uitgevers zorgvuldig te controleren. Zelfs extensies met beperkte rechten of geruststellende privacyverklaringen kunnen gevaarlijke functionaliteit verbergen.