Siber güvenlik araştırmacıları, kripto para cüzdanı kurtarma ifadelerini ve özel anahtarları çalmak için tasarlanmış 16 zararlı Firefox tarayıcı uzantısı keşfetti. Bu uzantılar, popüler kripto cüzdanlarını ve meşru tarayıcı hizmetlerini taklit ederek kullanıcıların dijital varlıklarını riske atabilir.
According to security company Socket , kampanya öncelikle Rabby Wallet ve OKX Wallet kullanıcılarını hedef aldı. Saldırganlar, bu hizmetlerin ikna edici kopyalarını oluşturarak uzantıların kripto para erişimi veya yönetimi için meşru araçlar gibi görünmesini sağladı.
Dört uzantı Rabby Wallet’i taklit ederken, 12 tane OKX Wallet’e benzeyecek şekilde tasarlandı. Bazıları, gerçek cüzdan yazılımı arayan kullanıcıları kandırmak için hafifçe değiştirilmiş isimler ve tanıdık görünümlü arayüzler kullandı.
Socket araştırmacıları, kullanıcıların mevcut bir kripto para cüzdanını içe aktarmaya çalıştıklarında uzantıların hassas bilgileri ele geçirdiğini keşfetti. Bu süreçte, mağdurlardan genellikle fonlarına erişimi geri getirmek için kullanılan 12 veya 24 kelimelik bir dizi olan kurtarma ifadelerini girmeleri istenebilir.
Bu bilgileri gizli tutmak yerine, kötü amaçlı uzantılar bunları saldırganların kontrolündeki sunuculara iletmeye çalıştı. Socket, kampanyanın çalınan cüzdan kimlik bilgilerini almak için Cloudflare Workers altyapısını kullandığını tespit etti.
Araştırmacılar ayrıca uzantıların izinlerinde önemli bir tutarsızlık tespit etti. 16 kişinin tamamı kullanıcı verisi toplamadıklarını belirtmiş olsa da, temel kodları kripto para cüzdanı sırlarını yakalamak ve iletmek için tasarlanmış fonksiyonlar içeriyordu.
Her uzantı tam olarak çalışmıyordu. Socket, programlama hataları nedeniyle amaçlandığı gibi çalışamayan kimlik bilgileri çalma kodu içeren bir versiyonu tespit etti. Kalan varyantlar ise hassas bilgileri çıkarmak için çalışma mekanizmalarını içeriyordu.
Socket, operasyonun Ağustos 2026’da ortaya çıkan daha büyük bir kampanyayla bağlantılı olduğuna inanıyor; o zaman araştırmacılar kripto para hırsızlığıyla ilişkili onlarca şüpheli Firefox uzantı tespit etti. Kod, altyapı ve dağıtım yöntemlerindeki benzerlikler, saldırganların yaklaşımlarını uyum sağlamaya devam ettiğini gösteriyor.
Mozilla, yeni tespit edilen zararlı uzantıları 5 Ekim’e kadar yayından kaldırdı. Ancak, bir uzantının kaldırılması, daha önce açığa çıkan bir kurtarma ifadesini güvenli hale getirmez.
Socket, çalışan kötü niyetli eklentilerden birine gerçek bir kurtarma ifadesi veya özel anahtar giren herkesin cüzdanın tehlikeye girdiğini düşünmesi gerektiğini uyarıyor. Etkilenen kullanıcılar, temiz bir ortamda yeni bir cüzdan oluşturup kripto para birimlerini mümkün olan en kısa sürede oraya aktarmalı.
Araştırmacılar ayrıca cüzdan uzantılarının yalnızca doğrulanmış resmi kaynaklar üzerinden kurulmasını ve isimlerini ve yayıncılarını dikkatlice kontrol etmelerini öneriyor. Sınırlı izinlere veya güven verici gizlilik beyanlarına sahip uzantılar bile tehlikeli işlevselliği gizleyebilir.