A Socket identificou 40 extensões maliciosas do Firefox capazes de capturar frases de recuperação, chaves privadas, credenciais e dados internos de carteiras de criptomoedas. A descoberta faz parte de uma operação maior, com 77 identidades de extensões relacionadas, detalhada pela empresa de segurança em relatório publicado em 19 de agosto.
Das 77 extensões rastreadas, outras 37 foram classificadas como enganosas ou suspeitas, mas as versões analisadas não continham código confirmado para roubo de credenciais ou ativos. Elas se apresentavam como ferramentas para funções variadas, embora na prática executassem aplicativos de placares esportivos.
A campanha, chamada provisoriamente pela Socket de “Offside Wallet Theft Factory”, opera pelo menos desde março de 2026. Registros de assinatura da Mozilla analisados pela empresa vão de 9 de março a 3 de agosto, com maior atividade em abril e no fim de julho.
A investigação encontrou extensões que imitavam produtos como OKX, Rabby Wallet e TronLink, além de versões que usavam nomes semelhantes aos originais com caracteres visualmente parecidos. A Socket afirma que o conjunto apresenta reutilização de código, infraestrutura, padrões de publicação e históricos de atualização semelhantes, embora ainda não seja possível afirmar que todas as extensões tenham sido controladas por um único grupo.
Ataques usavam quatro métodos diferentes
Entre as 40 extensões confirmadas como maliciosas, sete funcionavam como carregadores de páginas de phishing controladas remotamente por projetos do Supabase. A infraestrutura permitia aos operadores trocar o conteúdo mostrado pela extensão sem precisar publicar uma nova versão no Firefox.
Um dos casos analisados foi o 0KX WEB3, que imitava a carteira OKX substituindo a letra “O” por um zero. A extensão aparecia na loja do Firefox como uma carteira Web3, mas não possuía funções reais para criar carteiras, gerenciar chaves, consultar saldos ou realizar transferências.
Em vez disso, ela continha um bloco de notas usado como disfarce e buscava remotamente uma página configurada pelos operadores. Essa página apresentava opções para criar ou importar uma carteira e solicitava frases de recuperação de até 24 palavras ou chaves privadas.
A Socket observou que o 0KX WEB3 tinha sete usuários enquanto ainda estava disponível. A extensão foi denunciada à Mozilla e removida antes da publicação da investigação.
Outro grupo de 15 extensões mantinha a interface falsa e o código de roubo diretamente dentro dos pacotes assinados para o Firefox. Os dados capturados eram enviados para instâncias de Cloudflare Workers controladas pelos operadores.
Parte dessas extensões reutilizava código modificado da Rabby Wallet. O software conseguia continuar funcionando como uma carteira aparentemente normal, mas interceptava frases de recuperação de 12 ou 24 palavras durante a criação ou importação de contas e enviava os dados para servidores externos.
Extensões conseguiam copiar dados antes da criptografia
A Socket também encontrou 13 versões modificadas da Rabby Wallet que atacavam uma etapa interna diferente. Elas interceptavam os chamados keyrings, estruturas que armazenam informações usadas para gerenciar as contas de uma carteira, antes que esses dados fossem criptografados localmente.
No funcionamento legítimo da Rabby, os keyrings são serializados, criptografados e depois armazenados no dispositivo. Nas extensões alteradas, o código enviava a versão ainda não criptografada para um endereço externo antes de concluir o processo normal.
Isso permitia que a carteira continuasse funcionando sem apresentar um erro evidente ao usuário. Segundo a análise, oito das 13 variantes tinham praticamente todo o pacote idêntico, com mudanças concentradas principalmente nos endereços usados para receber os dados roubados.
Outras cinco extensões ampliavam o ataque para além das carteiras e coletavam credenciais e conteúdo da área de transferência. Os dados eram transmitidos para a mesma infraestrutura de comando e controle, localizada em um endereço IP fixo.
Dependendo do que fosse copiado pelo usuário, a área de transferência poderia expor senhas, informações de autenticação, endereços de criptomoedas, chaves privadas ou outros dados sensíveis.
Extensões de placares eram reaproveitadas como malware
Um dos elementos que ajudaram a Socket a relacionar diferentes partes da operação foi o histórico de versões das extensões. Nove identidades que posteriormente distribuíram malware haviam sido usadas antes para aplicativos de placares esportivos.
Essas versões anteriores mostravam resultados de futebol, basquete, NBA ou futebol americano. Depois, novas atualizações mantinham a mesma identidade no Firefox, mas substituíam a função esportiva por código direcionado ao roubo de carteiras.
A Socket encontrou, por exemplo, uma extensão chamada Quick Shield, que funcionava como aplicativo de resultados de basquete e posteriormente, sob a mesma identidade, passou a distribuir uma versão que imitava a Rabby e roubava dados internos da carteira. Casos semelhantes ocorreram com extensões inicialmente associadas a placares da NBA e do futebol americano.
As outras 37 extensões suspeitas analisadas pela empresa seguem um padrão relacionado. Elas anunciavam funções como VPN, conversão de moedas, captura de tela, geração de senhas e modo escuro, mas executavam aplicações de placares esportivos.
Trinta e duas compartilhavam praticamente a mesma implementação para buscar resultados de futebol, enquanto outras cinco consultavam informações de basquete, NBA e hóquei. Todas reutilizavam a mesma credencial incorporada para serviços legítimos da API-Sports.
A Socket não encontrou nessas 37 versões código comprovado para roubo de carteiras, credenciais ou dados da área de transferência. Ainda assim, classificou o grupo como enganoso e suspeito devido ao histórico de versões, padrões de publicação e relação com extensões que depois passaram a distribuir malware.
Remover a extensão não invalida uma chave já exposta
A principal consequência para usuários afetados é que desinstalar uma extensão não torna segura uma frase de recuperação ou chave privada que já tenha sido transmitida.
Uma frase de recuperação permite reconstruir as chaves de uma carteira em outro dispositivo. Por isso, a Socket recomenda que usuários que tenham informado esses dados a uma das extensões afetadas transfiram os ativos restantes para uma nova carteira criada com uma nova frase de recuperação.
O mesmo vale para casos em que uma extensão tenha conseguido transmitir os keyrings antes da criptografia. Para usuários expostos apenas às variantes que coletavam credenciais e conteúdo da área de transferência, a recomendação inclui trocar senhas afetadas, encerrar sessões abertas e verificar endereços de destino copiados anteriormente.
A investigação também mostra que permissões aparentemente limitadas não bastam para determinar se uma extensão é segura. Algumas variantes maliciosas precisavam apenas carregar uma interface externa e convencer o próprio usuário a inserir suas informações secretas.
A Socket documentou a infraestrutura, os métodos de exfiltração e a capacidade das extensões de comprometer carteiras, mas não identificou até agora um número confirmado de vítimas, transações atribuíveis à campanha ou um valor total de perdas.
