Četrdeset Firefox dodataka prikrilo krađu tajni kripto-novčanika
Tim Socket Threat Research identifikovao je 40 zlonamernih Mozilla Firefox dodataka koji su se predstavljali kao OKX, Rabby Wallet, TronLink i drugi Web3 proizvodi, a krali su tajne kripto-novčanika. Još 37 dodataka deli kod i infrastrukturne tragove sa tom grupom, dok je kampanja nazvana Offside Wallet Theft Factory aktivna najmanje od marta 2026.
Istraživač Kirill Boychenko naveo je da je za 40 dodataka potvrđena zlonamerna aktivnost. Za preostalih 37 analizirane verzije nisu sadržale potvrđen kod za krađu akreditiva ili novčanika, ali njihova obmanjujuća funkcija, zajednički artefakti objavljivanja i istorije verzija ukazuju na zlonamernu nameru.
Dva načina krađe podataka iz novčanika
Dodaci su krali podatke na dva načina: učitavanjem lažne stranice novčanika sa udaljenog servera ili ugrađivanjem krađe direktno u ekstenziju. Sedam dodataka koristilo je Supabase projekte pod kontrolom napadača kao udaljene prekidače za posluživanje fišing sadržaja ili mamaca.
Petnaest dodataka prikupljalo je fraze za oporavak, privatne ključeve i druge tajne, a zatim ih slalo putem Cloudflare Workers infrastrukture. Kod 13 izmenjenih izdanja Rabby Wallet-a iznošen je serijalizovani keyring pre lokalnog šifrovanja. Preostalih pet dodataka prikupljalo je akreditive i sadržaj međumemorije preko unapred upisanih C2 adresa.
Sportski rezultati kao privremena maska
Deo dodataka se prvo pojavio u zvaničnoj Firefox prodavnici kao alati za sportske rezultate ili pomoćne funkcije. Kasnije su, pod istim Firefox ID-jem, prepravljeni u zlonamerne dodatke za krađu podataka iz novčanika.
Grupa od 37 dodataka povezanih sa sportskim rezultatima obuhvatala je sadržaj za fudbal, košarku, NBA i hokej. Delili su ugrađeni pristupni podatak za legitimni API-Sports servis, iako su reklamirali nepovezane mogućnosti, poput generatora lozinki, tamnog režima, VPN pristupa, konverzije valuta, snimanja ekrana i beleški.
Istorije devet potvrđeno zlonamernih identiteta pokazuju da su prethodne verzije bile sportski dodaci za fudbal, košarku, NBA i američki fudbal, pre nego što su preusmerene na krađu novčanika. Širi obrazac rizika vidljiv je i kroz napadi na digitalnu imovinu koriste više povezanih komponenti, gde napadi na digitalnu imovinu koriste više povezanih komponenti.
Kontrola dodataka kao poslovna obaveza
Socket ukazuje da je i jedna uspešna instalacija dovoljna da otkrije frazu za oporavak, privatni ključ ili stanje novčanika čija vrednost može biti veća od troška ponovljenog objavljivanja kratkovekih dodataka. Rotiranje naziva i identiteta, kloniranje koda i razdvajanje funkcija između dodataka, udaljenih stranica i cloud infrastrukture smanjuju trošak takvih kampanja.
Za organizacije je praktičan zaključak da upravljanje ekstenzijama mora obuhvatiti odobrenu listu dodataka, proveru zahtevanih dozvola i periodično uklanjanje nepotrebnih instalacija. Posebnu pažnju zahtevaju dodaci koji pristupaju novčanicima, akreditivima, međumemoriji ili sadržaju stranica, jer promena verzije može bitno izmeniti njihovu stvarnu funkciju.