Socket 将 77 个 Firefox 扩展与加密钱包盗窃活动联系起来

安全公司 Socket 将 77 个 Firefox 扩展 ID 与一场针对加密钱包用户的恶意软件活动关联起来，并确认其中 40 个为恶意扩展。该活动持续时间为 3 月 9 日至 8 月 3 日。这些扩展冒充包括 OKX、Rabby Wallet 和 TronLink 在内的合法钱包，通过虚假界面或修改后的真实钱包代码窃取助记词。Socket 于上周发布调查结果，披露其中 9 个扩展最初是体育比分应用，后续更新才将其变为窃取钱包的工具。Mozilla 的签名记录显示，该活动发生在这一时间范围内；Socket 发布报告时，仍有多个扩展处于上线状态。

Socket 确认活动涉及 77 个扩展 ID

Socket 的威胁研究团队通过比对共享代码、基础设施和发布模式，将这 77 个扩展 ID 关联起来。这些恶意插件使用了与真实钱包名称极为相似的字符，足以骗过粗略检查。约一半的扩展会呈现具有迷惑性的钱包界面，并要求用户导入现有钱包，从而窃取用户输入的助记词或私钥。另外 13 个是修改版 Rabby，运行时表现正常，但会在保存账户数据时将其发送到外部服务器。还有 5 个扩展会收集已保存的凭据和剪贴板内容。

另有 37 个扩展 ID 伪装成密码生成器、深色模式切换工具、VPN、货币转换器和记事工具，但实际上运行的是实时体育比分应用，并且都共享一个为合法体育数据提供商设置的硬编码凭据。一款仿冒 OKX 钱包的扩展仅请求存储和标签页权限，因为它会加载远程页面并等待用户输入助记词；Socket 以此说明，仅根据扩展请求的权限来判断其安全性存在局限。

9 个扩展从体育应用变成钱包窃取工具

9 个已确认的恶意扩展此前使用相同的 Firefox ID 发布足球、篮球、NBA 或美式橄榄球比分应用，后续更新才将这些代码替换为钱包窃取工具。这些扩展继承了原始应用积累的用户安装量和评价历史。Socket 根据这一模式将该活动命名为“Offside Wallet Theft Factory”，同时提醒称，目前尚未确定这些扩展背后是否由同一个运营者控制。

这场活动代表了通过浏览器扩展窃取加密货币的一种常见途径。最近有一款 Chrome 扩展被曝在被发现前数月一直从 Solana 交易者处窃取费用。攻击者还曾将窃取程序隐藏在盗版软件、虚假的 Mac 剪贴板应用以及通过 Steam 分发的电脑游戏中。

Socket 建议将受影响的助记词视为永久失陷

Socket 表示，任何在这些扩展中输入过助记词或私钥的人，都应将相关钱包视为“永久失陷”，并将资金转移到新钱包。该团队指出，卸载扩展并不会撤销已经发送到其他地方的助记词。

常见问题

Socket 在 8 月 19 日发现了 Firefox 扩展的哪些问题？

Socket 的威胁研究团队发布调查结果，将 77 个 Firefox 扩展 ID 与一场恶意软件活动关联起来，并确认其中 40 个为恶意扩展。这些扩展冒充包括 OKX、Rabby Wallet 和 TronLink 在内的加密钱包。根据 Mozilla 的签名记录，该活动持续时间为 3 月 9 日至 8 月 3 日。

9 个扩展是如何从体育应用变成钱包窃取工具的？

9 个已确认的恶意扩展最初使用各自的 Firefox ID 发布足球、篮球、NBA 或美式橄榄球比分应用。后续更新将这些代码替换为窃取钱包的功能，并继承了原始应用积累的用户安装量和评价历史。

如果用户在这些扩展中输入了凭据，应该怎么办？

Socket 表示，任何在这些扩展中输入过助记词或私钥的人，都应将相关钱包视为永久失陷，并将资金转移到新钱包，因为卸载扩展并不会撤销已经发送到其他地方的助记词。