40件のMozilla Firefox拡張機能が、OKX、Rabby Wallet、TronLinkなどの正規のWeb3製品を装いながら、暗号資産ウォレット情報を盗む悪意あるツールとして特定された。この発見は、デジタル資産を管理するためにブラウザー拡張機能に依存する利用者にとって、引き続きリスクが存在することを示している。なぜなら、ブラウザーのアドオンは、利用者が入力または保存するウォレットデータのすぐ近くに位置し得るためである。

これらの拡張機能は、Socket Threat Researchチームによって、ソースコードとインフラの一部が重複する77件のブラウザーアドオン群の中から特定された。研究者はこのキャンペーンをOffside Wallet Theft Factoryと名付け、2026年3月以降に活動しているとみている。現時点で、この活動に公開されている既知のサイバー犯罪グループや脅威アクターはない。

セキュリティ研究者は、40件の拡張機能に悪意ある機能が確認されたと判断した。残る37件は連携したスポーツスコア運用に関連しており、分析されたバージョンにはウォレット情報や認証情報を盗む確定的なペイロードは含まれていなかった。ただし、その欺瞞的な振る舞い、共通する公開上の特徴、バージョン履歴は悪意の兆候として評価された。

研究者は、確認された悪意ある拡張機能のうち15件が、盗んだ情報をCloudflare Workers経由で送信する前に、リカバリーフレーズ、秘密鍵、その他のウォレット秘密情報を取得できることを突き止めた。

ウォレット認証情報を盗む複数の手法

悪意ある拡張機能は、機微な暗号資産情報を得るために複数の手法を用いている。特定された拡張機能のうち7件は、攻撃者が管理するSupabaseプロジェクトをリモートスイッチとして使用し、フィッシングページやおとりコンテンツを動的に配信できるようにしている。

別の15件の拡張機能は、リカバリーフレーズ、秘密鍵、その他のウォレット関連秘密情報を直接収集し、その情報をCloudflare Workers経由で外部送信する。研究者はまた、Rabby Walletの改変版13件を確認し、情報がローカルで暗号化される前にシリアライズされたキーリングを抽出できることを特定した。

残る5件の拡張機能は、ハードコードされたコマンド＆コントロール基盤を用いて認証情報とクリップボード情報を収集する。こうした機能により、ブラウザーを通じて保存またはコピーされたウォレットアドレス、認証データ、その他の機微情報が盗まれる可能性がある。

ウォレット窃取の仕組みは、一般に2つの方法で動作する。一部の拡張機能は、利用者をだまして認証情報やリカバリー情報を入力させるために設計された偽のウォレットページをリモートで読み込む。別の拡張機能は、悪意ある機能をコード内に直接含んでいる。

研究者はまた、一部の拡張機能が当初、公式Firefoxマーケットプレイスでスポーツスコアツールや一般ユーティリティとして登場し、その後、同じFirefox拡張機能IDを維持したままウォレット窃取ソフトウェアへと変化した証拠も確認した。

偽装の隠れみのとして使われたスポーツ用ユーティリティ

残る37件の拡張機能は、football、basketball、NBA、hockeyに関連した欺瞞的な実装を伴う別のスポーツスコア運用に結び付けられていた。これらの拡張機能には、リアルタイムのスポーツ情報を提供する正規サービスAPI-Sportsに関連するハードコードされた認証情報が含まれていた。

スポーツ関連の要素を持ちながら、これらの拡張機能は、パスワード生成、ダークモード、VPN機能、通貨変換、スクリーンショット取得、ノート作成など、無関係なツールを提供すると宣伝されていた。

確認された悪意あるIDのうち9件は、同じFirefox IDに関連する後続バージョンが暗号資産ウォレット窃取に転用される前に、スポーツスコア用の外形を使っていたことも判明した。研究者によると、他の31件の確認済み悪意あるIDはスポーツAPIを使用していなかったが、ウォレットまたは認証情報を盗む機能が確認されていた。

特定された拡張機能名には、Safe-Themes – Browser Extension、Rabbit For Desktop、℞ab␢y Wa❘Iet、Rabb-Walӏet CryptoPortfolio、RABB-Walӏet Web3 \u0026 EVM、Rabbit/WALLET – EVMが含まれていた。

このキャンペーンは、攻撃者が拡張機能のIDを再利用し、名称を入れ替え、コードを複製し、ブラウザー拡張機能、リモートページ、クラウドインフラ全体に悪意ある機能を分散させることで、繰り返しの攻撃を低コストかつ大規模に可能にする方法を示している。

Firefox利用者に続く拡張機能リスク

研究者は、ブラウザー拡張機能を悪用した攻撃の経済性が、暗号資産利用者への継続的な標的化を促す可能性があると述べた。1回の成功したインストールでも、リカバリーフレーズ、秘密鍵、またはウォレット状態が露出し得るが、その価値は使い捨て拡張機能を公開する比較的低いコストを大きく上回る可能性がある。

このキャンペーンは、初期のマーケットプレイス説明だけで悪意ある拡張機能を見分けることの難しさも示している。攻撃者は、無害なユーティリティとしてアドオンを提示し、徐々に機能を変更し、既存のIDを使って一から始めるコストを避けることができる。

暗号資産利用者にとって、今回の調査結果は、拡張機能の真正性を注意深く確認し、不要なブラウザー権限を制限し、独自に検証できないウォレットの導入を避ける重要性を改めて示している。

今回の調査結果は、拡張機能ベースのウォレット攻撃がますます適応的になっており、攻撃者が欺瞞的なマーケットプレイス掲載、転用されたID、クラウドベースのインフラを組み合わせて価値の高い暗号資産認証情報を狙っていることを示している。