Socketは77個のFirefox悪意のあるウォレット拡張を暴露し、40個がニーモニックフレーズを盗むことを確認しました。

Decrypt の報道によると、セキュリティ会社 Socket は研究結果を発表し、77 の Firefox 拡張機能を「オフサイドウォレット窃盗工場」と呼ばれる悪意のある活動に関連付けました。そのうち 40 の拡張機能が悪意のある行為を確認されています。

これらの拡張機能は OKX、Rabby Wallet、TronLink などの Web3 製品に偽装し、偽のウォレットインターフェースを通じてユーザーにウォレットのインポートを促したり、改変された本物のウォレットコードを使用してユーザーが入力する際にニーモニックフレーズや秘密鍵を盗みます。Mozilla の署名記録によれば、この活動は 3 月 9 日から 8 月 3 日まで続き、Socket の報告時にはまだ複数の拡張機能がオンラインでした。

その中で約半数の拡張機能はリアルなウォレットインターフェースを表示し、ユーザーに既存のウォレットをインポートするよう要求し、入力されたニーモニックフレーズや秘密鍵をキャッチします。さらに 13 の拡張機能は Rabby の改変版で、正常に動作しながらウォレットに保存されたアカウントデータを外部サーバーに送信します。5 つは保存された証明書やクリップボードの内容を収集するために特化しています。

また、37 の拡張機能はパスワードジェネレーター、ダークモード切替、VPN、通貨コンバーター、メモツールに偽装し、実際には同じハードコーディングされた証明書を共有するスポーツスコアアプリを実行しています。9 の確認された悪意のある拡張機能は最初にサッカーやバスケットボールなどのスコアアプリとして公開され、その後の更新でウォレット窃盗コードに置き換えられました。

Socket はこの活動を「オフサイドウォレット窃盗工場」と名付けましたが、すべての拡張機能が同一のオペレーターによって制御されているかどうかは確認されていないと警告しています。Socket チームは、これらの拡張機能にニーモニックフレーズや秘密鍵を入力したユーザーは「永久に漏洩した」と見なされ、直ちに資金を新しいウォレットに移動するべきであると述べています。拡張機能をアンインストールしても、他の場所に送信されたニーモニックフレーズを取り消すことはできません。