Un gruppo di 40 estensioni di Mozilla Firefox è stato identificato come strumenti malevoli progettati per rubare informazioni sui portafogli di criptovalute spacciandosi per prodotti Web3 legittimi, tra cui OKX, Rabby Wallet e TronLink. La scoperta sottolinea i rischi persistenti per gli utenti che si affidano alle estensioni del browser per gestire asset digitali, in particolare perché i componenti aggiuntivi del browser possono trovarsi direttamente tra l'utente e i dati del portafoglio che inserisce o archivia.

Le estensioni sono state identificate dal team Socket Threat Research come parte di una raccolta più ampia di 77 componenti aggiuntivi per browser con codice sorgente e infrastruttura sovrapposti. I ricercatori hanno battezzato la campagna Offside Wallet Theft Factory e ritengono che sia attiva da marzo 2026. Nessun gruppo di cybercriminali o attore di minacce noto è stato pubblicamente collegato all'attività.

I ricercatori di sicurezza hanno appurato che 40 delle estensioni contenevano funzionalità malevole confermate. Le restanti 37 erano associate a un'operazione coordinata di punteggi sportivi e non contenevano payload confermati per il furto di portafogli o credenziali nelle versioni analizzate. Tuttavia, il loro comportamento ingannevole, le caratteristiche di pubblicazione condivise e le cronologie delle versioni sono state valutate come indicatori di intento malevolo.

I ricercatori hanno scoperto che 15 delle estensioni malevole confermate possono acquisire frasi di recupero, chiavi private e altri segreti del portafoglio prima di inviare le informazioni rubate tramite Cloudflare Workers.

Molteplici tecniche utilizzate per rubare le credenziali del portafoglio

Le estensioni malevoli utilizzano diversi metodi per ottenere informazioni sensibili sulle criptovalute. Sette delle estensioni identificate utilizzano progetti Supabase controllati dagli aggressori come interruttori remoti, consentendo loro di distribuire dinamicamente pagine di phishing o contenuti esca.

Altre 15 estensioni raccolgono direttamente frasi di recupero, chiavi private e altri segreti legati al portafoglio prima di esfiltrare le informazioni tramite Cloudflare Workers. I ricercatori hanno inoltre identificato 13 versioni modificate di Rabby Wallet in grado di estrarre portachiavi serializzati prima che le informazioni vengano crittografate localmente.

Le restanti cinque estensioni utilizzano un'infrastruttura di command-and-control incorporata nel codice per raccogliere credenziali e informazioni dagli appunti. Tali capacità potrebbero esporre gli utenti al furto di indirizzi di portafoglio, dati di autenticazione e altre informazioni sensibili archiviate o copiate tramite il browser.

I meccanismi di furto dei portafogli funzionano generalmente in due modi. Alcune estensioni caricano da remoto pagine di portafoglio fraudolente progettate per indurre gli utenti a inserire le proprie credenziali o informazioni di recupero. Altre contengono la funzionalità malevola direttamente nel proprio codice.

I ricercatori hanno inoltre trovato prove che alcune estensioni sono inizialmente comparse nel mercato ufficiale di Firefox come strumenti per punteggi sportivi o utilità generiche, prima di essere trasformate in software per il furto di portafogli mantenendo gli stessi ID di estensione Firefox.

Utilità sportive usate come copertura ingannevole

Le altre 37 estensioni erano collegate a un'operazione separata di punteggi sportivi che coinvolgeva implementazioni ingannevoli legate a calcio, basket, NBA e hockey. Queste estensioni contenevano una credenziale incorporata nel codice associata ad API-Sports, un servizio legittimo che fornisce informazioni sportive in tempo reale.

Nonostante i componenti legati allo sport, le estensioni erano promosse come strumenti non correlati quali generazione di password, modalità scura, funzionalità VPN, conversione di valuta, cattura di schermate e presa di appunti.

È emerso inoltre che le versioni storiche di nove identità malevole confermate avevano utilizzato involucri di punteggi sportivi, prima che versioni successive associate agli stessi ID Firefox venissero riconvertite per il furto di portafogli di criptovalute. I ricercatori hanno dichiarato che le altre 31 identità malevole confermate non utilizzavano l'API sportiva, ma contenevano capacità verificate di furto di portafogli o credenziali.

Tra i nomi delle estensioni identificate figuravano Safe-Themes – Browser Extension, Rabbit For Desktop, ℞ab␢y Wa❘Iet, Rabb-Walӏet CryptoPortfolio, RABB-Walӏet Web3 & EVM e Rabbit/WALLET – EVM.

La campagna mostra come gli aggressori possano riutilizzare identità di estensioni, ruotare i nomi, clonare il codice e distribuire funzioni malevole tra estensioni del browser, pagine remote e infrastrutture cloud, rendendo gli attacchi ripetuti poco costosi e scalabili.

Gli utenti di Firefox affrontano rischi persistenti legati alle estensioni

I ricercatori hanno affermato che l'economia degli attacchi tramite estensioni del browser potrebbe favorire il continuo targeting degli utenti di criptovalute. Una singola installazione riuscita può potenzialmente esporre una frase di recupero, una chiave privata o lo stato di un portafoglio con un valore di gran lunga superiore al costo relativamente basso della pubblicazione di estensioni monouso.

La campagna illustra inoltre la difficoltà di identificare le estensioni malevole basandosi esclusivamente sulle loro descrizioni iniziali nel marketplace. Gli aggressori possono presentare un componente aggiuntivo come un'utilità innocua, modificarne gradualmente le funzionalità e utilizzare identità esistenti per evitare il costo di ripartire da zero.

Per gli utenti di criptovalute, i risultati rafforzano l'importanza di verificare attentamente l'autenticità delle estensioni, limitare le autorizzazioni del browser non necessarie ed evitare installazioni di portafogli che non possono essere verificate in modo indipendente.

I risultati indicano che gli attacchi ai portafogli basati su estensioni stanno diventando sempre più adattabili, con aggressori che combinano annunci ingannevoli nei marketplace, identità riconvertite e infrastrutture basate su cloud per prendere di mira credenziali di criptovalute di valore. Ciò rende la verifica delle estensioni e la revisione delle autorizzazioni una componente continua della sicurezza del portafoglio, e non un passaggio di configurazione una tantum.