Usuários do Firefox estão enfrentando uma campanha coordenada de complementos maliciosos que se disfarçam como carteiras de criptomoedas, temas e ferramentas simples do navegador. Os complementos podem enganar as vítimas para que divulguem frases de recuperação, chaves privadas, detalhes de login e dados da área de transferência, colocando ativos digitais e contas online em risco imediato.
Descoberta e escopo da campanha
Ativa desde pelo menos março de 2026, a operação abrange 77 identidades de extensões do Firefox: 40 complementos maliciosos confirmados e 37 conchas de pontuação esportiva enganosas que ajudaram o grupo a se misturar ao mercado. Pesquisadores da Socket.dev identificaram a campanha e a chamaram provisoriamente de Offside Wallet Theft Factory. Isso também dá aos operadores uma maneira barata de rotacionar marcas, infraestrutura e listagens enganosas.
Os achados mostram por que o propósito declarado de um complemento ou a solicitação modesta de permissão não pode estabelecer confiança. As amostras usaram um bloco de notas ou um aplicativo esportivo como cobertura enquanto o roubo acontecia dentro do complemento ou em uma página remota.
Como a exploração funciona tecnicamente
Quinze dos complementos maliciosos incorporaram telas de carteira falsas ou alteraram o código da carteira diretamente em seus pacotes assinados. Eles capturaram frases de recuperação e chaves privadas durante a criação ou importação da carteira e, em seguida, enviaram os dados para implantações do Cloudflare Workers controladas pelos atacantes.
Isso ecoa casos de abuso do Cloudflare Workers, onde um serviço de nuvem legítimo é mal utilizado para ocultar infraestrutura de entrega ou coleta hostil. Várias variantes copiaram ou modificaram o código derivado da Rabby, mas usaram nomes relacionados a temas. Seu implante interceptou frases de recuperação de 12 e 24 palavras.
Outras amostras apresentaram páginas de importação genéricas Web3 ou falsas da OKX, confiando nas vítimas para digitar seu segredo em vez de procurar no navegador. Uma frase de recuperação pode restaurar uma carteira em outro dispositivo, então um atacante que a recebe pode assumir o controle independentemente. Excluir o complemento pode parar a coleta adicional, mas não pode tornar uma frase divulgada segura novamente.
Adicionais repurposados expandem a campanha
Sete extensões usaram um design de controle remoto baseado em projetos Supabase gerenciados pelos atacantes. Um exemplo, o 0KX WEB3, anunciava recursos de carteira, mas não continha funções reais de carteira. Em vez disso, carregava um site remoto em seu popup, exibia um bloco de notas falso quando inativo e abria a página fornecida após a instalação ou atualização.
A página remota pedia aos usuários que criassem ou importassem uma carteira e, em seguida, solicitava uma frase de recuperação ou chave privada. Essa abordagem em etapas torna a revisão mais difícil, porque os operadores podem alternar um complemento entre conteúdo inofensivo e de phishing sem republicá-lo.
Outros cinco complementos coletaram credenciais e conteúdos da área de transferência por meio de um servidor de comando e controle (C2) codificado. O roubo da área de transferência pode expor senhas copiadas, material de autenticação, endereços de carteira ou chaves privadas.
Indicadores de Comprometimento (IoCs)
Os pesquisadores forneceram uma lista extensa de indicadores de comprometimento, incluindo hashes SHA-256 de extensões maliciosas, URLs de projetos Supabase, Workers do Cloudflare e servidores C2. Alguns dos principais indicadores incluem:
- Extensões Firefox: Vários IDs de extensão e hashes SHA-256, como
bliss-heaven@webbrol[.]comebold-page-vault@addonslab[.]example. - Infraestrutura Supabase: URLs como
kyfyvuwifdukctqyggto[.]supabase[.]cousadas para controle remoto. - Cloudflare Workers: Endpoints de coleta de segredos de carteira, como
dry-bush-5408[.]animalrescueeducationcenter-org[.]workers[.]dev. - Servidores C2: IPs como
77[.]91[.]100[.]175para coleta de credenciais e área de transferência.
Recomendações para CISOs e Usuários
Usuários e equipes de segurança devem remover as extensões listadas, revisar os complementos novamente após cada atualização e verificar os editores por meio de canais oficiais do projeto antes de instalar software de carteira.
Não insira uma frase de recuperação ou chave privada em um popup do navegador ou página da web. Qualquer pessoa que inseriu um desses segredos em um complemento suspeito deve tratá-lo como permanentemente comprometido, mover os ativos para uma carteira recém-criada e substituir as credenciais expostas.
Esta é especialmente importante dada a atividade anterior de extensões maliciosas do Firefox, que mostrou que os complementos também podem visar senhas e tokens OAuth.
O que fazer agora
As organizações devem monitorar logs de acesso ao repositório de extensões do Firefox e implementar políticas de segurança que restrinjam a instalação de complementos não verificados. A verificação de integridade de arquivos e a análise de tráfego de rede para conexões suspeitas a Workers do Cloudflare ou Supabase podem ajudar na detecção precoce.