Bezpečnostní tým Socket Threat Research odhalil rozsáhlou kampaň, která zneužívá oficiální obchod s doplňky pro Firefox k okrádání majitelů kryptoměn. Celkem 40 škodlivá rozšíření Firefox se vydávalo za známé produkty jako OKX, Rabby Wallet nebo TronLink a cílilo na obnovovací fráze, privátní klíče a další citlivá data peněženek.
Kampaň Offside Wallet Theft Factory
Výzkumník Kirill Boychenko ze společnosti Socket kampaň pojmenoval Offside Wallet Theft Factory. Analýza propojila celkem 77 identit rozšíření sdílejících kód, infrastrukturu a publikační vzorce. Z toho 40 rozšíření obsahuje potvrzenou škodlivou funkcionalitu zaměřenou na krádež peněženek nebo přihlašovacích údajů. Zbylých 37 rozšíření tvoří skupinu sportovních aplikací zobrazujících výsledky fotbalu, basketbalu, NBA nebo hokeje, u kterých analýza sice nenašla přímý škodlivý kód, ale sdílená infrastruktura a historie verzí ukazují na propojení se stejnou operací.
Kampaň běží podle dostupných dat minimálně od března 2026. Útočníka se zatím nepodařilo přiřadit ke známé skupině.
Čtyři způsoby krádeže dat
Rozšíření z potvrzené škodlivé čtyřicítky fungují čtyřmi různými způsoby.
Sedm rozšíření nemá vlastní škodlivý kód přímo v sobě. Místo toho načítají obsah ze vzdálené stránky, kterou útočníci ovládají přes projekt na platformě Supabase. Typickým příkladem je rozšíření 0KX WEB3, které nahrazuje písmeno O v názvu OKX nulou. Po instalaci zobrazí formulář pro vytvoření nebo import peněženky, a jakmile uživatel zadá obnovovací frázi nebo privátní klíč, údaje putují rovnou k útočníkům.
Patnáct rozšíření obsahuje krádež dat přímo ve svém kódu a odesílá obnovovací fráze přes Cloudflare Workers, tedy služby pro spouštění kódu na okraji sítě, které útočníkům umožňují snadno měnit cílovou adresu bez nutnosti upravovat samotné rozšíření.
Třináct rozšíření jsou upravené verze legitimní peněženky Rabby Wallet. Tady je postup nejzajímavější technicky. Originální kód Rabby nejprve zašifruje citlivá data peněženky a teprve poté je uloží. Útočníci tento proces upravili tak, aby se nezašifrovaná data odeslala na jejich server ještě před samotným šifrováním. Lokální šifrování tak ochranu vůbec neposkytne, protože data unikají dřív, než k němu dojde.
Zbylých pět rozšíření sleduje schránku systému a zachytává přihlašovací údaje, které následně odesílá na pevně zadanou adresu serveru.
Konkrétní příklady, jak škodlivá rozšíření Firefox vypadají
Rozšíření se často vydávají za známé peněženky pomocí drobných úprav v názvu, které si běžný uživatel snadno nevšimne. Mezi identifikovanými názvy jsou například Safe-Themes – Browser Extension, Rabbit For Desktop, nebo varianty jako RABB-Walӏet Web3 & EVM či Rabbit/WALLET – EVM, kde místo běžného písmene L je použit vizuálně téměř identický speciální znak. Podobně fungovalo i zmíněné 0KX WEB3, kde nulu od písmene O na první pohled nerozezná téměř nikdo.
U třinácti upravených verzí Rabby Wallet analytici zjistili, že osm variant je téměř identických jednomu referenčnímu vzorku škodlivého kódu, přičemž rozdíly mezi jednotlivými verzemi se soustředily hlavně do části kódu zajišťující komunikaci s útočníkovým serverem. Útočníci tak zjevně jeden základní škodlivý kód opakovaně kopírovali a jen měnili cílové adresy pro odeslání dat.
Sportovní aplikace jako maskování
Zajímavým prvkem kampaně je způsob, jakým se některá rozšíření dostala do obchodu s doplňky. Devět potvrzeně škodlivých identit mělo v historii verze fungující jako neškodné sportovní aplikace se skutečnými výsledky zápasů, načtenými přes legitimní službu API-Sports. Teprve pozdější aktualizace pod stejným ID rozšíření přinesly škodlivou funkcionalitu zaměřenou na peněženky. Tento postup umožňuje projít prvotní kontrolou obchodu jako neškodná aplikace a škodlivý kód přidat až později.
Reakce Mozilly
Mozilla škodlivá rozšíření z obchodu odstranila, některá ještě před zveřejněním výzkumu. Firma dlouhodobě provozuje systém včasné detekce, který nově nahraná rozšíření pro peněženky automaticky vyhodnocuje podle rizikových indikátorů. Rozšíření s vysokým rizikovým skóre pak prochází ruční kontrolou. Podle vyjádření Mozilly z loňského roku jde o hledání jehly v kupce sena, kdy automatizované indikátory pomáhají určit, které nově nahrané rozšíření pro peněženky si zaslouží bližší pozornost člověka.
Mozilla také dlouhodobě doporučuje instalovat rozšíření pro peněženky výhradně přes odkaz na oficiálních stránkách dané peněženky, nikoliv vyhledáváním přímo v obchodě s doplňky.
Širší trend krádeží přes rozšíření prohlížečů
Tato kampaň není ojedinělá. V červenci 2025 popsala firma Koi Security kampaň FoxyWallet, kde škodlivá rozšíření Firefox v počtu přes 40 kusů imitovala Coinbase, MetaMask, Trust Wallet nebo Phantom, s uměle navýšeným hodnocením pomocí falešných recenzí. O měsíc později stejná firma odhalila kampaň GreedyBear, která kombinovala přes 150 škodlivých rozšíření pro Firefox s několika stovkami škodlivých spustitelných souborů pro Windows a celkovou škodou kolem milionu dolarů.
V roce 2026 se podobné případy objevily i v obchodě Chrome. Rozšíření QuickLens s několika tisíci uživateli bylo napadeno po změně vlastníka a následná aktualizace do něj přidala krádež kryptoměn. Odhaleny byly také falešné klony peněženek imToken a TronLink.
Podle statistik firmy Scam Sniffer způsobily útoky na kryptoměnové peněženky v roce 2024 škodu přes 490 milionů dolarů na více než 330 tisících adres, v roce 2025 pak škoda klesla na necelých 84 milionů dolarů. Analýza společnosti Chainalysis zároveň ukazuje, že podíl kompromitovaných osobních peněženek na celkové ukradené hodnotě vzrostl mezi lety 2022 a 2024 z 7,3 procenta na 44 procent. Útočníci se tedy stále více přesouvají od krádeží z burz přímo k peněženkám běžných uživatelů, které často žijí právě v prohlížeči.
Jak se chránit
Rozšíření pro kryptoměnové peněženky je vhodné instalovat výhradně přes odkaz na oficiálních stránkách dané peněženky, nikdy přes vyhledávání v obchodě s doplňky. Před instalací se vyplatí zkontrolovat název rozšíření, zda neobsahuje podezřelé znaky nahrazující písmena, například nulu místo O nebo neobvyklé speciální znaky uvnitř jinak známého jména.
Vysoké hodnocení rozšíření samo o sobě nic nezaručuje, recenze lze snadno zfalšovat. Užitečnější je zkontrolovat historii verzí a to, zda rozšíření v minulosti nesloužilo k úplně jinému účelu, než jaký nabízí dnes.
Pokud někdo do podezřelého rozšíření zadal obnovovací frázi nebo privátní klíč, samotné odinstalování rozšíření problém nevyřeší. Peněženku je nutné považovat za trvale kompromitovanou a zbývající prostředky co nejrychleji přesunout do nové peněženky vytvořené na čistém zařízení. Pro větší částky dává smysl hardwarová peněženka, která privátní klíče od prohlížeče odděluje úplně.
Technický pohled pro CTI a SOC týmy
Kromě obecného doporučení stojí incident za pozornost i z pohledu konkrétních síťových indikátorů. Skupina zaměřená na krádež přihlašovacích údajů a schránky komunikuje s IP adresou 77.91.100.175, konkrétně na cestách html/app.php a html/continue.php. Skupina upravených Rabby peněženek posílá data nešifrovaně na portu 9000, na cesty obsahující řetězec hook, směrem k doménám gemachriverdale.org a e-wl.com a jejich subdoménám. Rozšíření využívající Supabase jako přepínač komunikovala mimo jiné s projektem kyfyvuwifdukctqyggto.supabase.co a phishingová stránka běžela na portal-web3-extension-welcome.pages.dev.
Zajímavá je i technika samotného ukrývání dat u upravených Rabby peněženek. Legitimní kód peněženky nejprve serializuje citlivá data do takzvaného keyringu, poté je zašifruje a teprve pak uloží lokálně. Útočníci tento proces přerušili hned po serializaci a data ve formě JSON pole nazvaného ping odeslali pryč dřív, než k šifrování vůbec dojde. Z pohledu uživatele i běžné kontroly rozšíření přitom vše vypadá jako standardní běh peněženky, protože finální lokální soubor je nakonec skutečně zašifrovaný, jen už neobsahuje jediné tajemství, které za to stálo.
Organizace využívající Microsoft Defender mohou rozšíření v prohlížečích dohledat přes inventarizaci nainstalovaných doplňků a Advanced Hunting nad tabulkou prohlížečových rozšíření, kde lze filtrovat podle rizikového skóre konkrétního doplňku a podle názvu prohlížeče. U zařízení s nainstalovaným Firefoxem a rizikovými rozšířeními pak dává smysl porovnat verze a vydavatele s výše popsanými vzory, případně blokovat instalaci rozšíření mimo schválený seznam pomocí firemní politiky prohlížeče.
Z pohledu klasifikace útoku podle rámce MITRE ATT&CK odpovídá kampaň mimo jiné technikám maskování pod legitimním názvem, krádeže dat ze schránky, exfiltrace přes webové služby a použití takzvaného dead drop resolveru, tedy prostředníka jako Cloudflare Workers, který umožňuje měnit skutečnou cílovou adresu bez nutnosti upravovat samotné rozšíření.
Čísla za celým trendem
Škody způsobené útoky na kryptoměnové peněženky nejsou zanedbatelné. Podle firmy Scam Sniffer dosáhla škoda z takzvaných drainerů, tedy nástrojů na vysávání peněženek, v roce 2024 částky kolem 494 milionů dolarů na více než 330 tisících postižených adresách, což byl meziroční nárůst o 67 procent při jen mírném růstu počtu obětí. Mezi těmito případy bylo i 30 útoků s škodou přesahující milion dolarů, přičemž jediná největší krádež dosáhla 55,48 milionu dolarů. V roce 2025 škoda podle stejného zdroje klesla přibližně o 83 procent na necelých 84 milionů dolarů, počet postižených adres přitom zůstal v řádu stovek tisíc.
Firma Chainalysis zároveň upozorňuje na dlouhodobý posun v cíli útočníků. Zatímco v roce 2022 tvořily kompromitované osobní peněženky jen 7,3 procenta z celkové ukradené hodnoty, v roce 2024 to bylo už 44 procent. Útočníci se tedy stále víc přesouvají od velkých burz k jednotlivým uživatelům, jejichž klíče často leží právě v běžném prohlížeči.
Zdroje:
- Socket Threat Research: https://socket.dev/blog/firefox-crypto-wallet-theft
- The Hacker News: https://thehackernews.com/2026/08/40-malicious-firefox-extensions-pose-as.html
- GBHackers: https://gbhackers.com/13-malicious-rabby-firefox-extensions/
- Mozilla Add-ons Community Blog: https://blog.mozilla.org/addons/2025/05/30/crypto-wallet-scams-thwarting-a-new-threat/
- Koi Security (FoxyWallet): https://www.koi.ai/blog/foxywallet-40-malicious-firefox-extensions-exposed
- The Hacker News (GreedyBear): https://thehackernews.com/2025/08/greedybear-steals-1m-in-crypto-using.html
- BleepingComputer (QuickLens): https://www.bleepingcomputer.com/news/security/quicklens-chrome-extension-steals-crypto-shows-clickfix-attack/
