Eine Gruppe von 40 Mozilla-Firefox-Erweiterungen wurde als bösartige Werkzeuge identifiziert, die dazu entwickelt wurden, Informationen von Kryptowährungs-Wallets zu stehlen, während sie sich als legitime Web3-Produkte, darunter OKX, Rabby Wallet und TronLink, ausgaben. Der Fund verdeutlicht die anhaltenden Risiken für Nutzer, die Browser-Erweiterungen zur Verwaltung digitaler Vermögenswerte einsetzen, insbesondere weil Browser-Add-ons direkt zwischen Nutzer und den von ihm eingegebenen oder gespeicherten Wallet-Daten sitzen können.

Die Erweiterungen wurden vom Socket Threat Research Team als Teil einer breiteren Sammlung von 77 Browser-Add-ons mit überlappendem Quellcode und gemeinsamer Infrastruktur identifiziert. Die Forscher bezeichneten die Kampagne als Offside Wallet Theft Factory und gehen davon aus, dass sie seit März 2026 aktiv ist. Öffentlich wurde bislang keine bekannte Cybercrime-Gruppe oder kein Threat Actor mit der Aktivität in Verbindung gebracht.

Sicherheitsforscher stellten fest, dass 40 der Erweiterungen bestätigte bösartige Funktionen enthielten. Die übrigen 37 waren mit einer koordinierten Sportscore-Operation verbunden und enthielten in den analysierten Versionen keine bestätigten Payloads zum Diebstahl von Wallet- oder Zugangsdaten. Ihr täuschendes Verhalten, gemeinsame Veröffentlichungsmerkmale und Versionshistorien wurden jedoch als Hinweise auf bösartige Absichten bewertet.

Die Forscher fanden heraus, dass 15 der bestätigten bösartigen Erweiterungen Recovery Phrases, Private Keys und andere Wallet-Geheimnisse erfassen können, bevor die gestohlenen Informationen über Cloudflare Workers weitergeleitet werden.

Mehrere Techniken zum Diebstahl von Wallet-Zugangsdaten

Die bösartigen Erweiterungen verwenden mehrere Methoden, um sensible Kryptowährungsinformationen zu erlangen. Sieben der identifizierten Erweiterungen nutzen von den Angreifern kontrollierte Supabase-Projekte als Fernschalter, sodass sie Phishing-Seiten oder Köderinhalte dynamisch ausliefern können.

Weitere 15 Erweiterungen sammeln Recovery Phrases, Private Keys und andere walletbezogene Geheimnisse direkt ein, bevor sie die Informationen über Cloudflare Workers exfiltrieren. Die Forscher identifizierten außerdem 13 modifizierte Versionen von Rabby Wallet, die serialisierte Keyrings extrahieren können, bevor die Informationen lokal verschlüsselt werden.

Die verbleibenden fünf Erweiterungen verwenden fest kodierte Command-and-Control-Infrastruktur, um Zugangsdaten und Zwischenablageinformationen zu sammeln. Solche Fähigkeiten könnten Nutzer dem Diebstahl von Wallet-Adressen, Authentifizierungsdaten und anderen sensiblen Informationen aussetzen, die über den Browser gespeichert oder kopiert werden.

Die Mechanismen zum Stehlen von Wallets funktionieren im Allgemeinen auf zwei Arten. Einige Erweiterungen laden aus der Ferne betrügerische Wallet-Seiten, die Nutzer dazu verleiten sollen, ihre Zugangsdaten oder Recovery-Informationen einzugeben. Andere enthalten die bösartige Funktion direkt in ihrem Code.

Die Forscher fanden zudem Hinweise darauf, dass einige Erweiterungen zunächst im offiziellen Firefox-Marktplatz als Sportscore-Tools oder allgemeine Dienstprogramme erschienen, bevor sie unter Beibehaltung derselben Firefox-Erweiterungs-IDs in Software zum Diebstahl von Wallets umgewandelt wurden.

Sport-Tools als täuschende Tarnung verwendet

Die anderen 37 Erweiterungen standen in Verbindung mit einer separaten Sportscore-Operation mit täuschenden Implementierungen zu Fußball, Basketball, NBA und Hockey. Diese Erweiterungen enthielten ein fest kodiertes Credential für API-Sports, einen legitimen Dienst für Echtzeit-Sportinformationen.

Trotz ihrer sportbezogenen Komponenten wurden die Erweiterungen mit nicht zusammenhängenden Funktionen beworben, etwa zur Passworterzeugung, für Dark Mode, VPN-Funktionalität, Währungsumrechnung, Screenshot-Erfassung und Notizen.

Historische Versionen von neun bestätigten bösartigen Identitäten wurden ebenfalls mit Sportscore-Hüllen gefunden, bevor spätere Versionen mit denselben Firefox-IDs für den Diebstahl von Kryptowährungs-Wallets umfunktioniert wurden. Die Forscher erklärten, dass die anderen 31 bestätigten bösartigen Identitäten die Sports API nicht nutzten, aber verifizierte Funktionen zum Stehlen von Wallet- oder Zugangsdaten enthielten.

Zu den identifizierten Erweiterungsnamen gehörten Safe-Themes – Browser Extension, Rabbit For Desktop, ℞ab␢y Wa❘Iet, Rabb-Walӏet CryptoPortfolio, RABB-Walӏet Web3 \u0026 EVM und Rabbit/WALLET – EVM.

Die Kampagne zeigt, wie Angreifer Erweiterungsidentitäten wiederverwenden, Namen wechseln, Code klonen und bösartige Funktionen über Browser-Erweiterungen, entfernte Seiten und Cloud-Infrastruktur verteilen können, um wiederholte Angriffe kostengünstig und skalierbar zu machen.

Firefox-Nutzer sehen sich anhaltenden Risiken durch Erweiterungen ausgesetzt

Die Forscher sagten, die Ökonomie von Angriffen auf Browser-Erweiterungen könne die fortgesetzte Zielauswahl von Kryptowährungsnutzern begünstigen. Eine einzige erfolgreiche Installation kann potenziell eine Recovery Phrase, einen Private Key oder einen Wallet-Zustand offenlegen, dessen Wert die relativ geringen Kosten für die Veröffentlichung von Wegwerf-Erweiterungen weit übersteigt.

Die Kampagne verdeutlicht auch, wie schwierig es ist, bösartige Erweiterungen allein anhand ihrer anfänglichen Marketplace-Beschreibungen zu erkennen. Angreifer können ein Add-on als harmlose Anwendung darstellen, seine Funktionalität schrittweise verändern und bestehende Identitäten nutzen, um die Kosten für einen Neuanfang zu vermeiden.

Für Kryptowährungsnutzer unterstreichen die Ergebnisse die Bedeutung, die Authentizität von Erweiterungen sorgfältig zu prüfen, unnötige Browser-Berechtigungen zu begrenzen und Wallet-Installationen zu vermeiden, die nicht unabhängig verifiziert werden können.

Die Erkenntnisse zeigen, dass erweiterungsbasierte Angriffe auf Wallets zunehmend anpassungsfähig werden, da Angreifer täuschende Marketplace-Einträge, wiederverwendete Identitäten und Cloud-Infrastruktur kombinieren, um wertvolle Kryptowährungs-Zugangsdaten ins Visier zu nehmen.