Pesquisadores de cibersegurança descobriram 16 extensões maliciosas Firefox de navegador projetadas para roubar frases de recuperação de carteiras de criptomoedas e chaves privadas. As extensões se passaram por carteiras criptomoedas populares e utilitários legítimos de navegador, potencialmente colocando os ativos digitais dos usuários em risco.
According to security company Socket , a campanha tinha como principal alvo usuários do Rabby Wallet e do OKX Wallet. Os atacantes criaram cópias convincentes desses serviços, fazendo com que as extensões parecessem ferramentas legítimas para acessar ou gerenciar criptomoedas.
Quatro das extensões imitaram Rabby Wallet, enquanto outras 12 foram projetadas para se assemelhar ao OKX Wallet. Algumas usaram nomes ligeiramente alterados e interfaces familiares para enganar usuários que buscavam softwares de carteira genuínos.
Pesquisadores do Socket descobriram que as extensões interceptavam informações sensíveis quando os usuários tentavam importar uma carteira de criptomoedas existente. Durante esse processo, as vítimas podiam ser solicitadas a inserir sua frase de recuperação, tipicamente uma sequência de 12 ou 24 palavras usada para restaurar o acesso aos seus fundos.
Em vez de manter essas informações privadas, as extensões maliciosas tentaram transmiti-las para servidores controlados pelos atacantes. A Socket descobriu que a campanha usava a infraestrutura dos Cloudflare Workers para receber credenciais de carteira roubadas.
Os pesquisadores também identificaram uma inconsistência importante nas permissões das extensões. Embora todos os 16 tenham declarado não coletar dados de usuários, seu código subjacente continha funções projetadas para capturar e transmitir segredos de carteiras de criptomoedas.
Nem toda extensão estava totalmente operacional. O Socket identificou uma versão contendo código de roubo de credenciais que não podia funcionar como previsto devido a erros de programação. As variantes restantes incluíam mecanismos funcionais para extrair informações sensíveis.
A Socket acredita que a operação está conectada a uma campanha maior descoberta em agosto de 2026, quando pesquisadores identificaram dezenas de extensões suspeitas Firefox associadas ao roubo de criptomoedas. Semelhanças em seu código, infraestrutura e métodos de distribuição sugerem que os atacantes continuaram a adotar sua abordagem.
A Mozilla removeu as extensões maliciosas recém-identificadas da publicação até 5 de outubro. No entanto, remover uma extensão não torna segura uma frase de recuperação anteriormente exposta.
A Socket alerta que qualquer pessoa que tenha inserido uma frase de recuperação genuína ou chave privada em uma das extensões maliciosas funcionais deve considerar essa carteira comprometida. Usuários afetados devem criar uma nova carteira em um ambiente limpo e transferir sua criptomoeda para ela o quanto antes.
Os pesquisadores também recomendam instalar extensões de carteira apenas por meio de fontes oficiais verificadas e verificar cuidadosamente seus nomes e editoras. Mesmo extensões com permissões limitadas ou declarações de privacidade tranquilizadoras podem ocultar funcionalidades perigosas.