Ce s-a întâmplat
Cercetătorii în securitate au identificat 16 extensii Firefox malițioase care se dau drept instrumente pentru portofele cripto, construite special pentru a fura fraze de recuperare (seed phrases) și chei private. Patru dintre extensii imită portofelul Rabby, iar celelalte douăsprezece imită OKX Wallet, fiind listate sub denumiri nevinovate, de tipul utilitare desktop sau unelte web.
După instalare, extensiile interceptează frazele de recuperare și cheile private introduse în timpul procesului legitim de import al portofelului, apoi transmit discret aceste date către o infrastructură controlată de atacatori, găzduită pe Cloudflare Workers. Toate extensiile identificate comunică cu același domeniu back-end, semn că toate cele 16 extensii aparțin aceleiași operațiuni, nu unor copiatori care acționează independent.
Analiștii consideră acest val drept o continuare a unei campanii similare observate în august 2026, în care același grup rotește numele extensiilor, versiunile, descrierile din listare și ID-urile, reutilizând în același timp interfețele de portofel, logica de captare a credențialelor și infrastructura back-end — un tipar construit să reziste eliminărilor și să evite în continuare verificarea magazinelor de extensii.
Extensiile semnalate fuseseră eliminate începând cu 5 octombrie 2026.
De ce contează
Magazinele de extensii de browser rămân unul dintre cele mai simple canale de distribuție pentru malware orientat spre criptomonede, pentru că frazele de recuperare a portofelului sunt credențiale de mare valoare și cu o singură șansă — odată ce un atacator le obține, nu există o resetare de parolă care să anuleze furtul. Reutilizarea șabloanelor de listare și ciclul rapid de republicare înseamnă că o eliminare nu încheie campania, ci doar obligă atacatorii să schimbe numele.
Nici acesta nu este un incident izolat. În aceeași perioadă, cercetătorii au semnalat separat amenințări similare bazate pe extensii: o extensie falsă de verificare a identității care deturnează cookie-uri de sesiune din browser, un cluster de zeci de extensii Chrome și Edge care colectează date de navigare și redirecționează discret tab-uri active, un val de extensii de tip phishing cripto construite să evite mediile de analiză în limba engleză, și extensii care interceptează conversații întregi din chatboți AI (ChatGPT, Gemini, Claude, Copilot și altele) sau execută comenzi trimise de atacatori de pe un server la distanță pentru a colecta istoricul de navigare și date de amprentare a browserului. Privite împreună, aceste cazuri arată că magazinele de extensii sunt tratate ca un canal de livrare fiabil și ieftin de mai mulți actori de amenințare, complet diferiți unii de alții — nu ca o excepție.
Ce trebuie să faceți
- Oricine a instalat una dintre cele 16 extensii semnalate și a introdus o frază de recuperare sau o cheie privată reală trebuie să considere portofelul respectiv compromis: mutați fondurile într-un portofel nou, generat pe un dispozitiv curat și de încredere, și nu refolosiți niciodată fraza expusă.
- Auditați extensiile de browser instalate în organizație — în special orice are legătură cu portofele, VPN-uri, blocante de reclame/pop-up sau unelte "utilitare" generice — și eliminați tot ce nu este folosit sau verificabil.
- Instalați extensii pentru portofele doar din sursa oficială documentată a proiectului și verificați editorul înainte de a începe orice flux de import sau recuperare.
- În medii gestionate centralizat, impuneți liste albe de extensii, monitorizați instalarea de noi add-on-uri și implementați monitorizare comportamentală a extensiilor, care să semnaleze conexiuni ieșite neașteptate — verificarea din magazin, singură, nu este suficientă.