40 adet kötü amaçlı Firefox eklentisi, Web3 ürünleri taklidi yaparak kripto para cüzdanlarının bilgilerini çalmaya çalışıyor. Bu eklentiler, OKX, Rabby Wallet, TronLink gibi ürünlerin taklidi yaparak kullanıcıların kripto para cüzdanlarının recovery phrase, private key ve diğer bilgilerini çalmaya çalışıyor.
Socket Threat Research ekibi tarafından yapılan araştırmada, bu eklentilerin 77 adet tarayıcı eklentisi ile aynı kaynak kodu ve altyapıyı paylaştığı tespit edildi. Offside Wallet Theft Factory olarak adlandırılan bu kampanya, Mart 2026'dan beri aktif olduğu düşünülüyor. Ancak bu faaliyetin bilinen bir tehdit aktörüne veya gruba atfedilmesi mümkün değil.
Güvenlik araştırmacısı Kirill Boychenko, "Eklenti düzeyindeki analiz, 40 adet eklentinin kötü amaçlı olduğunu doğruladı" dedi. "Diğer 37 eklenti, koordine bir çoklu spor skor-shell operasyonunu oluşturuyor. Analiz edilen sürümleri, kimlik bilgileri veya cüzdan çalmaya yönelik yükler içermediği tespit edildi, ancak aldatıcı işlevleri, paylaşılan yayınlama artifactsı ve sürüm geçmişleri, kötü niyet olduğunu gösteriyor."
Bu 40 eklentinin 7 tanesi, tehdit aktörlerinin kontrolündeki Supabase projelerini uzak anahtarlar olarak kullanarak sunucuya phishing veya decoy içeriği dinamik olarak yükler. 15 tanesi, kurtarma ifadelerini, özel anahtarları ve diğer cüzdan bilgilerini yakalar ve Cloudflare Workers aracılığıyla sızdırır. 13 tanesi, Rabby Wallet'in değiştirilmiş sürümlerini kullanarak yerel şifreleme öncesi seri hale getirilmiş anahtar halkalarını sızdırır. Geriye kalan 5 tanesi, kimlik bilgilerini ve panoya veri yakalayarak hard-coded komut ve kontrol (C2) altyapısı aracılığıyla sızdırır.
Cüzdan bilgilerinin çalınması, ya uzak bir sahte cüzdan sayfası yükleyerek ya da eklenti itselfine işlevi yerleştirerek gerçekleşir. Bazı durumlarda, eklentiler ilk olarak resmi Firefox eklenti pazarında spor skorları veya yardımcı kabuklar olarak görünür, ancak aynı Firefox ID'si altında daha sonra cüzdan çalan kötü amaçlı yazılımlara dönüştürülür.
37 eklenti, spor skor operasyonuna ilişkin aldatıcı uygulamaları içerir ve futbol, basketbol, NBA ve hokeyi kapsar. Ayrıca, gerçek zamanlı spor verilerini sunan meşru bir hizmet olan API-Sports için hard-coded bir kimlik bilgisi paylaşırlar ve şifre oluşturma, karanlık mod, VPN erişimi, para birimi dönüştürme, ekran görüntüsü yakalama ve not alma gibi ilgili olmayan işlevleri pazarlarlar.
