Socket identificó 40 extensiones maliciosas de Firefox capaces de capturar frases de recuperación, claves privadas, credenciales y datos internos de carteras de criptomonedas. El descubrimiento forma parte de una operación mayor, con 77 identidades de extensiones relacionadas, detallada por la empresa de seguridad en un informe publicado el 19 de agosto.
De las 77 extensiones rastreadas, otras 37 fueron clasificadas como engañosas o sospechosas, pero las versiones analizadas no contenían código confirmado para el robo de credenciales o activos. Se presentaban como herramientas para funciones variadas, aunque en la práctica ejecutaban aplicaciones de marcadores deportivos.
La campaña, llamada provisionalmente por Socket como “Offside Wallet Theft Factory”, opera al menos desde marzo de 2026. Los registros de firma de Mozilla analizados por la empresa van del 9 de marzo al 3 de agosto, con mayor actividad en abril y a finales de julio.
La investigación encontró extensiones que imitaban productos como OKX, Rabby Wallet y TronLink, además de versiones que usaban nombres similares a los originales con caracteres visualmente parecidos. Socket afirma que el conjunto presenta reutilización de código, infraestructura, patrones de publicación e historiales de actualización similares, aunque todavía no sea posible afirmar que todas las extensiones hayan sido controladas por un único grupo.
Los ataques usaban cuatro métodos diferentes
Entre las 40 extensiones confirmadas como maliciosas, siete funcionaban como cargadores de páginas de phishing controladas remotamente por proyectos de Supabase. La infraestructura permitía a los operadores cambiar el contenido mostrado por la extensión sin necesidad de publicar una nueva versión en Firefox.
Uno de los casos analizados fue el 0KX WEB3, que imitaba la cartera OKX sustituyendo la letra “O” por un cero. La extensión aparecía en la tienda de Firefox como una cartera Web3, pero no tenía funciones reales para crear carteras, gestionar claves, consultar saldos o realizar transferencias.
En cambio, contenía un bloc de notas usado como disfraz y buscaba remotamente una página configurada por los operadores. Esa página presentaba opciones para crear o importar una cartera y solicitaba frases de recuperación de hasta 24 palabras o claves privadas.
Socket observó que 0KX WEB3 tenía siete usuarios mientras aún estaba disponible. La extensión fue denunciada a Mozilla y eliminada antes de la publicación de la investigación.
Otro grupo de 15 extensiones mantenía la interfaz falsa y el código de robo directamente dentro de los paquetes firmados para Firefox. Los datos capturados se enviaban a instancias de Cloudflare Workers controladas por los operadores.
Parte de esas extensiones reutilizaba código modificado de Rabby Wallet. El software lograba seguir funcionando como una cartera aparentemente normal, pero interceptaba frases de recuperación de 12 o 24 palabras durante la creación o importación de cuentas y enviaba los datos a servidores externos.
Las extensiones lograban copiar datos antes del cifrado
Socket también encontró 13 versiones modificadas de Rabby Wallet que atacaban una etapa interna diferente. Interceptaban los llamados keyrings, estructuras que almacenan información utilizada para gestionar las cuentas de una cartera, antes de que esos datos fueran cifrados localmente.
En el funcionamiento legítimo de Rabby, los keyrings se serializan, cifran y luego se almacenan en el dispositivo. En las extensiones alteradas, el código enviaba la versión aún sin cifrar a una dirección externa antes de completar el proceso normal.
Esto permitía que la cartera siguiera funcionando sin presentar un error evidente al usuario. Según el análisis, ocho de las 13 variantes tenían prácticamente todo el paquete idéntico, con cambios concentrados principalmente en las direcciones utilizadas para recibir los datos robados.
Otras cinco extensiones ampliaban el ataque más allá de las carteras y recopilaban credenciales y contenido del portapapeles. Los datos se transmitían a la misma infraestructura de comando y control, ubicada en una dirección IP fija.
Dependiendo de lo que copiara el usuario, el portapapeles podría exponer contraseñas, información de autenticación, direcciones de criptomonedas, claves privadas u otros datos sensibles.
Extensiones de marcadores se reutilizaban como malware
Uno de los elementos que ayudaron a Socket a relacionar diferentes partes de la operación fue el historial de versiones de las extensiones. Nueve identidades que posteriormente distribuyeron malware habían sido utilizadas antes para aplicaciones de marcadores deportivos.
Esas versiones anteriores mostraban resultados de fútbol, baloncesto, NBA o fútbol americano. Después, nuevas actualizaciones mantenían la misma identidad en Firefox, pero sustituían la función deportiva por código dirigido al robo de carteras.
Socket encontró, por ejemplo, una extensión llamada Quick Shield, que funcionaba como aplicación de resultados de baloncesto y posteriormente, bajo la misma identidad, pasó a distribuir una versión que imitaba a Rabby y robaba datos internos de la cartera. Casos similares ocurrieron con extensiones inicialmente asociadas a marcadores de la NBA y del fútbol americano.
Las otras 37 extensiones sospechosas analizadas por la empresa siguen un patrón relacionado. Anunciaban funciones como VPN, conversión de monedas, captura de pantalla, generación de contraseñas y modo oscuro, pero ejecutaban aplicaciones de marcadores deportivos.
Treinta y dos compartían prácticamente la misma implementación para buscar resultados de fútbol, mientras que otras cinco consultaban información de baloncesto, NBA y hockey. Todas reutilizaban la misma credencial incorporada para servicios legítimos de API-Sports.
Socket no encontró en esas 37 versiones código comprobado para el robo de carteras, credenciales o datos del portapapeles. Aun así, clasificó el grupo como engañoso y sospechoso debido al historial de versiones, patrones de publicación y relación con extensiones que luego pasaron a distribuir malware.
Eliminar la extensión no invalida una clave ya expuesta
La principal consecuencia para los usuarios afectados es que desinstalar una extensión no hace segura una frase de recuperación o clave privada que ya haya sido transmitida.
Una frase de recuperación permite reconstruir las claves de una cartera en otro dispositivo. Por eso, Socket recomienda que los usuarios que hayan proporcionado esos datos a una de las extensiones afectadas transfieran los activos restantes a una nueva cartera creada con una nueva frase de recuperación.
Lo mismo aplica para casos en que una extensión haya logrado transmitir los keyrings antes del cifrado. Para usuarios expuestos solo a las variantes que recopilaban credenciales y contenido del portapapeles, la recomendación incluye cambiar contraseñas afectadas, cerrar sesiones abiertas y verificar direcciones de destino copiadas anteriormente.
La investigación también muestra que los permisos aparentemente limitados no bastan para determinar si una extensión es segura. Algunas variantes maliciosas solo necesitaban cargar una interfaz externa y convencer al propio usuario de ingresar su información secreta.
Socket documentó la infraestructura, los métodos de exfiltración y la capacidad de las extensiones para comprometer carteras, pero no ha identificado hasta ahora un número confirmado de víctimas, transacciones atribuibles a la campaña o un valor total de pérdidas.
