ウォレットの復元フレーズや秘密鍵、認証情報、クリップボードのデータを盗み出すよう設計された拡張機能が発見されました。研究者らはさらに、便利なツールを装いながら実際にはスポーツのスコア情報を表示するだけの、関連する偽装拡張機能37件も特定しています。
「Offside Wallet Theft Factory」と名付けられたこのキャンペーンは、少なくとも2026年3月から活動を続けています。攻撃者は複製したコードや誤解を招くリスティング、使い回されたFirefoxアドオンのIDを悪用し、偽のウォレットブランドを装うことでユーザーを欺いています。
これらの拡張機能は、OKX、Rabby Wallet、TronLinkといった人気のWeb3ブランドになりすましていました。復元フレーズや秘密鍵が漏洩すると、攻撃者は仮想通貨ウォレットを完全に掌握できてしまいます。
情報が一度盗まれると、攻撃者は被害者のパスワードを必要とせず、別のデバイス上でウォレットを復元して資産を移動させることができます。窃取後に悪質な拡張機能を削除しても、ウォレットが安全な状態に戻るわけではありません。
悪質な拡張機能のうち7件は、攻撃者が管理するSupabaseプロジェクトを、フィッシングページ切り替え用のリモートスイッチとして利用していました。その一例である「0KX WEB3」という拡張機能は、OKXウォレットブランドの「O」の文字をゼロに置き換えることで、見た目を巧妙に模倣していました。
この拡張機能はWeb3ウォレットを名乗っていましたが、実際のウォレット機能は一切備えていませんでした。その代わりに、拡張機能のウィンドウ内でリモートのフィッシングページを読み込む仕組みになっていました。
このフィッシングページはユーザーに対し、ウォレットの新規作成またはインポートを求めます。インポート処理の過程で、被害者は復元フレーズまたは秘密鍵の入力を促されます。
入力された秘密情報は、そのまま攻撃者に流出します。この拡張機能には一見無害なメモ帳機能も組み込まれており、フィッシングモードが無効化されている際にはおとりとして機能していました。
別の15件の拡張機能は、窃取用コードをパッケージ内に直接組み込んでいました。そのうち複数は、Rabby Walletのコードベースを改変したバージョンを使用していました。
これらのバージョンは、ウォレットの作成またはインポート時に12単語または24単語の復元フレーズを取得し、攻撃者が管理するCloudflare Workerのエンドポイントへ送信していました。
研究者らはさらに、Rabbyをベースにした拡張機能13件が、ローカルに暗号化保存される前のシリアライズされたウォレットキーリングデータを窃取していたことも突き止めています。
改変されたコードは、キーリング情報をハードコードされたHTTPサーバー(多くの場合ポート9000)へ送信していました。これにより、拡張機能は正規のウォレットのように振る舞いながら、機密性の高いウォレットデータを密かに漏洩させることができました。
このキャンペーンには、ユーザーの認証情報とクリップボードの内容を収集する拡張機能5件も含まれていました。このマルウェアは、77[.]91[.]100[.]175にあるコマンド&コントロールサーバーへ盗んだデータを送信していました。
クリップボードの監視は、仮想通貨ユーザーにとって特に危険です。コピーされた内容にはウォレットアドレスやパスワード、秘密鍵、認証コードが含まれている可能性があるためだと、socketは指摘しています。
注: IPアドレスおよびドメインは、誤ってアクセスされたりリンクとして機能したりすることを防ぐため、意図的に無害化(defang)されています(例: [.])。再度有効な形式に戻す作業は、MISPやVirusTotal、SIEMなど管理されたスレットインテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/40-firefox-extensions-steal-crypto/
