多数の偽Firefoxウォレット拡張機能が暗号資産窃取マルウェアに関連
重要ポイント
- •Socketはこのキャンペーンに77件のFirefox拡張機能IDを関連付け、そのうち40件を悪意あるものと確認した。
- •偽アドオンはWeb3ウォレットになりすまし、リカバリーフレーズ、秘密鍵、保存済み認証情報、クリップボード内容を収集していた。
- •9件の拡張機能は、当初はスポーツスコアアプリとして公開され、その後の更新でウォレット窃取マルウェアに変えられた。
- •Mozillaの署名記録では活動期間は3月9日から8月3日までで、報告時点でも一部は公開されたままだった。
- •Socketは、これらの拡張機能に入力したリカバリーフレーズや秘密鍵は恒久的に侵害されたものとして扱うべきだと警告した。
セキュリティ企業Socketは、77件のFirefox拡張機能IDを「Offside Wallet Theft Factory」と名付けた協調キャンペーンに関連付け、そのうち40件を悪意あるものとして確認した。これらの偽アドオンは、OKX、Rabby Wallet、TronLinkなどの人気ウォレットになりすまし、偽のウォレット画面や実在するウォレットコードの改変版を通じてリカバリーフレーズを収集していた。
拡張機能のうち9件は、当初はスポーツのスコア表示アプリとして公開され、その後のバージョンでその機能がひそかにウォレット窃取コードへ置き換えられていた。
Firefoxユーザーは、いわば偽造暗号資産ウォレット拡張機能の生産ラインによって標的にされていた。これらの一部は、リカバリーフレーズを盗むツールへと変えられるまで、数カ月にわたりライブのサッカー試合結果を配信していた。Socketの脅威調査チームは先週調査結果を公開し、共有コード、共有インフラ、共通の公開パターンを通じて77件の拡張機能IDを結び付け、そのうち40件を悪意あるものと確認した。Mozillaの署名記録では、このキャンペーンは3月9日から8月3日までの間に確認されており、Socketが報告した時点でも複数の拡張機能がまだ公開されていた。MozillaはFirefoxにインストールされる前にアドオンの署名を義務付けているため、これらの記録は、偽の掲載物がその審査を数カ月にわたって通過していたことも示している。
Socket Threat Research uncovered a 77-extension Firefox campaign: 40 steal wallet secrets and credentials. Another 37 posed as unrelated tools but displayed sports scores. Nine began as score apps before later updates turned them into wallet malware.
— Socket (@SocketSecurity) August 19, 2026
悪意あるアドオンは、OKX、Rabby Wallet、TronLink、その他のWeb3製品になりすましており、見た目だけでは本物と見分けがつきにくい文字を使うことが多い。これは、長く「typosquatting」として知られる名称詐称の一種である。約半数は、説得力のあるウォレット画面を表示して既存ウォレットのインポートを求め、入力されたリカバリーフレーズや秘密鍵を収集していた。これは、被害者のブラウザや端末に依存せず、どこからでもウォレットを再構築または解除できる認証情報である。さらに13件はRabbyの改変ビルドで、通常どおり動作しながら、保存時にウォレットに保存されたアカウントデータを外部サーバーへ送信していた。別の5件は、保存済み認証情報とクリップボードの内容を収集していた。
サッカーのスコア表示からウォレット窃取へ
さらに37件のIDは、パスワード生成ツール、ダークモード切り替え、VPN、通貨換算、メモ取りツールを装っていたが、実際にはライブのスポーツスコアアプリとして動作しており、いずれも正規のスポーツデータ提供元向けの単一のハードコードされた認証情報を共有していた。
悪意が確認された9件の拡張機能も同じ手口で始まり、同じFirefox IDの下でサッカー、バスケットボール、NBA、米国フットボールのスコアアプリを公開した後、後続の更新でそのコードがウォレット窃取機能に置き換えられていた。元のアプリが築いたインストール数やレビュー履歴を引き継ぐ形になっていたという。FirefoxユーザーはMozillaのストアでアドオンを評価・レビューするため、すでに実績があり高評価の掲載物は、新規のウォレット拡張機能にはない信頼性を持つ。そして更新によって、その信用がひそかに悪意あるコードへ移される。Socketはこのパターンから、このキャンペーンをOffside Wallet Theft Factoryと名付けたが、すべての拡張機能の背後に単一の運営者がいるとは確認していないとしている。
ある偽のOKXウォレットは、必要な権限がstorageとtabsの2つだけだった。ブラウザ内を何も検索する必要がなかったためで、単にリモートページを読み込み、ユーザーがリカバリーフレーズを入力するのを待っていた。Socketは、拡張機能が要求するアクセス権だけで判断することの限界を示す例だと指摘している。
これらの拡張機能のいずれかにリカバリーフレーズまたは秘密鍵を入力した場合、そのウォレットは「permanently compromised」とみなし、新しいウォレットへ資金を移すべきだとSocketのチームは述べた。拡張機能を削除しても、すでに別の場所へ送信されたフレーズは無効化されないためだ。
ブラウザ拡張機能は、暗号資産窃取の繰り返し利用される経路になっている。最近では、Chrome拡張機能がSolanaトレーダーから数カ月にわたり手数料を吸い上げていたことが発覚したほか、攻撃者は海賊版ソフトウェア、偽のMacクリップボードアプリ、Steamで配布されたPCゲームにも窃取ツールを隠していた。
