Киберугроза: вредоносные расширения Firefox крадут криптовалюту

Эксперты по кибербезопасности обнаружили 77 вредоносных расширений для браузера Firefox, предназначенных для кражи сид-фраз и паролей от криптовалютных кошельков. Данная кампания началась в марте 2026 года и использует хитроумную схему: изначально приложения маскировались под безобидные трекеры спортивных результатов, а затем скрытно обновлялись до программ, способных воровать цифровые активы.

Исследователи из Socket описали целую сеть взаимосвязанных расширений, которую они назвали "фабрикой по краже кошельков". Из 77 обнаруженных программ 40 оказались явно вредоносными, а 37 функционировали как обманные оболочки. Ранее аналогичное расширение для Google Chrome уже успело украсть средства у множества пользователей, но теперь злоумышленники разработали более сложную схему обхода модерации магазина аддонов Mozilla. Хакеры публиковали безобидные расширения для отслеживания спортивных матчей по футболу, баскетболу и хоккею, предлагая пользователям различные удобства, такие как темная тема, конвертер валют или инструмент для скриншотов.

После завоевания доверия аудитории и успешной проверки безопасности девять из этих спортивных трекеров получили обновление, которое полностью изменило их функциональность и превратило в программы для перехвата паролей. Пик активности злоумышленников пришелся на апрель и конец июля 2026 года. Представители Mozilla уже начали удалять опасные плагины, однако некоторые из них оставались доступными для скачивания даже в августе. Точная сумма украденных средств и количество пострадавших пользователей пока остаются неизвестными.

Целью хакеров стали пользователи популярных Web3-продуктов, таких как OKX, Rabby Wallet и TronLink. Чтобы запутать жертв, мошенники использовали визуально схожие названия. Например, одно из расширений получило имя 0KX WEB3, где вместо буквы "O" использовался ноль. Внутри программ скрывались инструменты для фишинга, а вместо реального кода кошелька находились вредоносные компоненты. Злоумышленники использовали облачные сервисы для удаленного управления контентом и скрипты Cloudflare Workers для вывода украденных данных.

Методы перехвата информации были разнообразными: программы копировали сид-фразы и приватные ключи во время ввода, извлекали данные из буфера обмена и перехватывали файлы ключей до их шифрования на компьютере пользователя. Фишинговые атаки затрагивают не только десктопные браузеры — ранее Google обнаружила эксплойт-кит для iOS, который использовался для кражи данных владельцев iPhone, что подтверждает масштаб проблемы на всех устройствах.

Если вы стали жертвой фишинга, важно понимать, что удаление вредоносного расширения не спасет ваши активы. Если программа успела перехватить вашу сид-фразу или приватный ключ, данные уже находятся на серверах злоумышленников.

Если вы устанавливали подозрительные спортивные трекеры или сторонние версии кошельков в Firefox с марта по август 2026 года, необходимо срочно предпринять действия. Рекомендуется удалить все сомнительные расширения из браузера, создать новый криптовалютный кошелек на чистом устройстве, сгенерировать новую сид-фразу и надежно сохранить ее в офлайне. Важно немедленно перевести все средства с скомпрометированного адреса на новый. Любой кошелек, данные которого могли попасть в уязвимый плагин, следует считать скомпрометированным. Только полный перевод монет на новый адрес с новой сид-фразой может гарантировать сохранность ваших активов.