Das Sicherheitsunternehmen Socket hat 77 Firefox-Erweiterungsidentitäten mit einer koordinierten Kampagne in Verbindung gebracht, die es „Offside Wallet Theft Factory“ nennt, und 40 davon als bösartig bestätigt. Die gefälschten Add-ons geben sich als beliebte Wallets wie OKX, Rabby Wallet und TronLink aus und erbeuten Wiederherstellungsphrasen über gefälschte Wallet-Oberflächen oder modifizierte Versionen echten Wallet-Codes.

Neun der Erweiterungen waren zunächst als Sport-Ergebnis-Apps veröffentlicht worden, bevor spätere Versionen diese Funktionalität still und leise durch Code zum Stehlen von Wallets ersetzten.

Firefox-Nutzer sind zum Ziel einer regelrechten Produktionslinie gefälschter Krypto-Wallet-Erweiterungen geworden, von denen einige monatelang Live-Fußballergebnisse veröffentlichten, bevor sie in Werkzeuge zum Stehlen von Wiederherstellungsphrasen umgewandelt wurden. Das Bedrohungsforschungsteam von Socket hat vergangene Woche seine Erkenntnisse veröffentlicht und dabei die 77 Erweiterungsidentitäten über gemeinsamen Code, gemeinsame Infrastruktur und übereinstimmende Veröffentlichungsmuster miteinander verknüpft; 40 davon bestätigte es als bösartig. Signierungsdatensätze von Mozilla verorten die Kampagne zwischen dem 9. März und dem 3. August; mehrere Erweiterungen waren zum Zeitpunkt der Socket-Meldung noch aktiv. Mozilla verlangt, dass Add-ons signiert sind, bevor Firefox sie installiert – die Datensätze zeigen somit auch, dass die gefälschten Einträge diesen Prozess monatelang durchlaufen haben.

Socket Threat Research uncovered a 77-extension Firefox campaign: 40 steal wallet secrets and credentials. Another 37 posed as unrelated tools but displayed sports scores. Nine began as score apps before later updates turned them into wallet malware.

— Socket (@SocketSecurity) August 19, 2026

Die bösartigen Add-ons geben sich als OKX, Rabby Wallet, TronLink und andere Web3-Produkte aus und nutzen dabei häufig Zeichen, die den echten Namen stark ähneln – ähnlich genug, um einer flüchtigen Prüfung zu standhalten; eine Form der Namensnachahmung, die längst als Typosquatting bekannt ist. Etwa die Hälfte zeigt eine glaubwürdige Wallet-Oberfläche und fordert den Nutzer auf, eine bestehende Wallet zu importieren; jede eingegebene Wiederherstellungsphrase und jeder private Schlüssel wird abgegriffen – die Zugangsdaten, mit denen sich die Wallet von überall wiederherstellen oder entsperren lässt, ganz ohne Browser oder Gerät des Opfers. Weitere 13 sind modifizierte Rabby-Builds, die sich normal verhalten, während sie die gespeicherten Kontodaten der Wallet beim Speichern an einen externen Server senden. Fünf weitere sammeln stattdessen gespeicherte Zugangsdaten und Inhalte der Zwischenablage.

Von Fußballergebnissen zum Wallet-Diebstahl

Weitere 37 Identitäten tarnen sich als Passwort-Generatoren, Dark-Mode-Schalter, VPNs, Währungsrechner und Notiz-Tools, führen in Wirklichkeit jedoch Live-Sport-Ergebnis-Anwendungen aus, die sich alle eine einzige hartkodierte Zugangskennung eines legitimen Sportdatenanbieters teilen.

Neun bestätigt bösartige Erweiterungen begannen auf dieselbe Weise: Unter denselben Firefox-IDs veröffentlichten sie Apps mit Fußball-, Basketball-, NBA- oder American-Football-Ergebnissen, bevor spätere Updates diesen Code durch Wallet-Stealer ersetzten und dabei die installierte Nutzerbasis sowie die Bewertungshistorie übernahmen, die das Original aufgebaut hatte. Im Mozilla-Store bewerten Firefox-Nutzer Add-ons, weshalb ein etablierter, gut bewerteter Eintrag über eine Glaubwürdigkeit verfügt, die einer brandneuen Wallet-Erweiterung fehlen würde – und das Update überträgt diesen Ruf stillschweigend auf den bösartigen Code. Socket benannte die Kampagne nach diesem Muster „Offside Wallet Theft Factory“, merkte jedoch an, dass es keinen einzelnen Betreiber hinter allen Erweiterungen nachweisen konnte.

Eine gefälschte OKX-Wallet forderte nur zwei Berechtigungen an – Speicher und Tabs –, weil sie den Browser nie nach irgendetwas durchsuchen musste. Sie lud schlicht eine entfernte Seite und wartete darauf, dass der Nutzer eine Wiederherstellungsphrase eingab – einen Fall, den Socket als Grenze der Beurteilung von Erweiterungen anhand der angeforderten Zugriffsrechte kennzeichnet.

Wer in eine dieser Erweiterungen eine Wiederherstellungsphrase oder einen privaten Schlüssel eingegeben hat, sollte diese als „dauerhaft kompromittiert“ betrachten und die Guthaben auf eine neue Wallet verschieben, so das Socket-Team, da die Deinstallation einer Erweiterung eine Phrase nicht für ungültig erklärt, die bereits an anderer Stelle gesendet wurde.

Browser-Erweiterungen sind zu einem wiederkehrenden Weg des Krypto-Diebstahls geworden. Eine Chrome-Erweiterung wurde kürzlich dabei ertappt, monatelang Gebühren von Solana-Händlern abgezweigt zu haben, während Angreifer Stealer auch in raubkopierter Software, einer gefälschten Mac-Zwischenablage-App und über Steam vertriebenen PC-Spielen versteckt haben.