Wprowadzenie do problemu / definicja
Ekosystem rozszerzeń przeglądarkowych od lat pozostaje atrakcyjnym celem dla cyberprzestępców. Najnowsza kampania wymierzona w użytkowników Firefoksa pokazuje, że złośliwe dodatki mogą skutecznie podszywać się pod legalne narzędzia Web3, w tym portfele kryptowalutowe, a następnie wykradać frazy odzyskiwania, klucze prywatne i dane logowania.
W praktyce oznacza to, że pojedyncza instalacja pozornie użytecznego dodatku może doprowadzić do natychmiastowej utraty kontroli nad aktywami cyfrowymi. Problem jest szczególnie istotny dla osób korzystających z portfeli przeglądarkowych do obsługi kryptowalut, aplikacji zdecentralizowanych i kont powiązanych z usługami Web3.
W skrócie
Badacze bezpieczeństwa zidentyfikowali 40 złośliwych rozszerzeń Firefoksa, które podszywały się pod popularne produkty Web3. Kampania była częścią szerszego zestawu 77 dodatków powiązanych wspólnym kodem i infrastrukturą, a jej aktywność miała trwać co najmniej od marca 2026 roku.
- rozszerzenia imitowały legalne portfele kryptowalutowe i narzędzia Web3,
- część dodatków dynamicznie ładowała fałszywe strony portfeli,
- inne miały mechanizmy kradzieży danych osadzone bezpośrednio w kodzie,
- niektóre próbki przechwytywały zawartość schowka i poświadczenia,
- atakujący wykorzystywali także legalnie wyglądające powłoki funkcjonalne oraz ponownie używali identyfikatorów rozszerzeń.
Kontekst / historia
Ataki z użyciem złośliwych rozszerzeń nie są nowym zjawiskiem, jednak ta kampania wyróżnia się skalą, modularnością i wyraźnym ukierunkowaniem na użytkowników rynku kryptowalut. Według ustaleń część dodatków początkowo działała jako pozornie nieszkodliwe narzędzia oferujące wyniki sportowe, generowanie haseł, tryb ciemny, funkcje VPN, konwersję walut czy notatki.
Dopiero późniejsze wersje tych samych dodatków zostały przekształcone w narzędzia do kradzieży danych portfeli. Taki model działania wpisuje się w trend nadużywania zaufania do oficjalnych marketplace’ów rozszerzeń, gdzie użytkownicy często zakładają, że obecność dodatku w sklepie oznacza jego bezpieczeństwo.
Z perspektywy napastników taki model jest opłacalny. Koszt publikacji kolejnych wariantów dodatków pozostaje niski, natomiast pojedyncza skuteczna infekcja może zapewnić dostęp do aktywów o znacznej wartości. Dodatkowo rotacja nazw, modyfikacje identyfikatorów i klonowanie kodu utrudniają szybkie wykrycie kampanii.
Analiza techniczna
Technicznie kampania opierała się na kilku modelach działania. Pierwszy z nich wykorzystywał zdalnie sterowane komponenty, które pobierały lub wyświetlały fałszywe interfejsy portfeli. Użytkownik widział ekran przypominający legalny produkt i był nakłaniany do wpisania frazy seed, klucza prywatnego lub innych wrażliwych danych.
Drugi wariant polegał na osadzeniu funkcji kradzieży bezpośrednio w samym rozszerzeniu. Badacze wskazali dodatki przechwytujące frazy odzyskiwania, klucze prywatne i inne sekrety portfeli, a następnie eksfiltrujące je przez usługi pośredniczące w chmurze. W części próbek zaobserwowano również zmodyfikowane kompilacje portfela Rabby, które wyprowadzały zserializowane keyringi jeszcze przed lokalnym szyfrowaniem.
Z punktu widzenia obrony to szczególnie groźny scenariusz, ponieważ atak nie wymaga łamania mechanizmów kryptograficznych. Dane są przechwytywane zanim zostaną zaszyfrowane lub odpowiednio zabezpieczone po stronie użytkownika.
Trzeci model obejmował kradzież poświadczeń i monitorowanie schowka. W takim przypadku napastnicy mogli pozyskiwać loginy, hasła oraz adresy portfeli kopiowane przez użytkownika. To zwiększa ryzyko nie tylko przejęcia środków kryptowalutowych, ale także kompromitacji kont powiązanych z giełdami, usługami Web3 i innymi platformami internetowymi.
Istotnym elementem kampanii było również maskowanie funkcji złośliwych. Część dodatków występowała jako legalnie wyglądające „powłoki” o nieszkodliwej funkcjonalności, co mogło wydłużać czas ich obecności w oficjalnym ekosystemie rozszerzeń.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem instalacji takiego dodatku jest pełna utrata kontroli nad portfelem kryptowalutowym. Przejęcie frazy seed lub klucza prywatnego daje napastnikowi możliwość odtworzenia portfela i natychmiastowego transferu środków, zazwyczaj bez realnej szansy na ich odzyskanie.
Ryzyko nie ogranicza się jednak wyłącznie do świata kryptowalut. Jeśli rozszerzenie uzyskało dostęp do danych logowania, schowka lub aktywnej sesji przeglądarki, incydent może objąć również konta pocztowe, menedżery haseł, narzędzia SaaS oraz systemy firmowe.
Dodatkowym zagrożeniem jest trudność w ocenie wiarygodności rozszerzeń przez użytkownika końcowego. Atakujący wykorzystywali nazwy, opisy i wygląd przypominające znane produkty, a także zmieniali przeznaczenie już istniejących dodatków. To oznacza, że nawet wcześniejsza historia danego rozszerzenia nie musi gwarantować bezpieczeństwa po aktualizacji.
Rekomendacje
Użytkownicy indywidualni powinni niezwłocznie przejrzeć wszystkie zainstalowane rozszerzenia Firefoksa i usunąć dodatki, których pochodzenie, twórca lub faktyczna funkcja budzą wątpliwości. Szczególną ostrożność należy zachować wobec rozszerzeń podszywających się pod portfele Web3, narzędzia bezpieczeństwa, VPN-y i dodatki oferujące zbyt szeroki zakres funkcji.
W przypadku podejrzenia instalacji złośliwego rozszerzenia należy podjąć następujące działania:
- natychmiast odinstalować podejrzany dodatek,
- zmienić hasła do powiązanych usług,
- przenieść środki do nowego portfela utworzonego z nową frazą seed,
- uznać dotychczasową frazę odzyskiwania i klucze prywatne za skompromitowane,
- przeanalizować historię transakcji i logowań,
- sprawdzić, czy w przeglądarce nie pozostały inne nieautoryzowane rozszerzenia.
W środowiskach firmowych warto wdrożyć politykę kontroli rozszerzeń opartą na modelu allowlist. Organizacje powinny ograniczyć możliwość samodzielnej instalacji dodatków, monitorować uprawnienia rozszerzeń, analizować zmiany wersji oraz prowadzić telemetrykę ruchu do nietypowych domen i usług wykorzystywanych do eksfiltracji danych.
Dobrym rozwiązaniem pozostaje również separacja środowisk, czyli korzystanie z osobnej przeglądarki lub profilu do operacji finansowych i Web3, bez zbędnych dodatków. W przypadku portfeli i kont o wysokiej wartości warto rozważyć użycie portfeli sprzętowych oraz dodatkowych mechanizmów weryfikacji transakcji.
Podsumowanie
Wykrycie 40 złośliwych rozszerzeń Firefoksa podszywających się pod produkty Web3 potwierdza, że dodatki przeglądarkowe pozostają jednym z kluczowych obszarów ryzyka w cyberbezpieczeństwie. Kampania łączy socjotechnikę, klonowanie legalnych interfejsów, nadużycie zaufania do marketplace’u oraz techniki eksfiltracji danych jeszcze przed ich zaszyfrowaniem.
Dla użytkowników kryptowalut oznacza to bezpośrednie zagrożenie utraty środków, a dla organizacji ryzyko szerszej kompromitacji tożsamości i danych. Najskuteczniejszą obroną pozostają rygorystyczna higiena rozszerzeń, kontrola aktualizacji, ograniczanie uprawnień i szybka reakcja na wszelkie oznaki podejrzanej aktywności.
Źródła
- https://thehackernews.com/2026/08/40-malicious-firefox-extensions-pose-as.html
- https://support.mozilla.org/en-US/kb/reporting-extensions-and-themes-abuse
- https://support.mozilla.org/en-US/kb/harmful-add-protection
- https://support.mozilla.org/en-US/kb/add-ons-cause-issues-are-on-blocklist
- https://blog.mozilla.org/addons/2025/06/23/updated-add-on-policies-simplified-clarified/