Eine neue Kampagne zeigt, wie kreativ Angreifer die Browser-Erweiterungslandschaft missbrauchen: Ermittler haben maliziöse Firefox-Extensions entdeckt, die sich als beliebte Web3-Produkte tarnen und Wallet-Geheimnisse entwenden. Laut den Analysten von Socket Threat Research wurden dafür mehrere Add-ons eingesetzt, die über Monate aktiv gewesen sein sollen.
Insgesamt handelt es sich um ein größeres Set an Browser-Zusätzen, aus dem die Forscher 40 als eindeutig schädlich einstufen. Die Aktion wird unter dem Namen „Offside Wallet Theft Factory“ geführt. Bislang wurde kein konkreter Täter oder keine bekannte Gruppe direkt zugeordnet.
Was die Angreifer mit Firefox-Add-ons erreichen wollen
Der Kern des Problems ist klar: Nach der Installation sollen die Erweiterungen Informationen aus Web3-Wallets abgreifen. Dabei geht es nicht nur um offensichtliche Zugangsdaten, sondern um sensible Wallet-Substanzen wie Recovery Phrases und private Keys. Solche Daten haben einen hohen Wert, weil sie den Zugriff auf Konten und Assets ermöglichen.
Die Analysen beschreiben außerdem, dass viele der betroffenen Erweiterungen keine einzigen „All-in-one“-Schadfunktionen besitzen. Stattdessen wirken sie wie Bausteine: Funktionen werden auf verschiedene Erweiterungen, Seiten und Cloud-Komponenten verteilt. Genau das erschwert das Erkennen und macht das Vorgehen skalierbar.
So tarnen sich die maliziösen Firefox-Extensions
Um Nutzerinnen und Nutzer zu täuschen, nutzen die Angreifer Tarnnamen und Funktionskonzepte, die auf den ersten Blick harmlos wirken. In den Berichten tauchen Beispiele auf, die sich an bekannten Wallet-Umgebungen orientieren, etwa als OKX, Rabby Wallet oder TronLink. Darüber hinaus wurden Add-ons zunächst als Sport-Score- oder Utility-Shells veröffentlicht, bevor sie später in Richtung Wallet-Diebstahl umgebaut wurden.
Ein besonders auffälliges Muster betrifft eine Untergruppe aus 37 Erweiterungen, die wie Sport-Score-Anwendungen vermarktet wurden. Diese Angebote decken verschiedene Sportarten ab, darunter Fußball, Basketball, NBA und Hockey. Zusätzlich nutzen die Auswertungen eine gemeinsame Einbindung für einen echten Sportdaten-Dienst, was die irreführende Wirkung verstärkt.
Welche Wallet-Geheimnisse werden gestohlen
Die Forschenden differenzieren die schädlichen Varianten nach ihrer konkreten Datenerfassung. In der Analyse werden mehrere Kategorien genannt:
- Remote-Phishing oder täuschende Inhalte: Sieben Erweiterungen verwenden von Angreifern kontrollierte Supabase-Projekte als Schalter, um Server-Phishing oder Lockseiten dynamisch nachzuladen.
- Abgreifen von Recovery Phrases und privaten Schlüsseln: 15 Erweiterungen erfassen Recovery Phrases, private Keys und weitere Wallet-Geheimnisse und leiten sie anschließend weiter.
- Manipulierte Rabby-Wallet-Builds: 13 Varianten sollen Wallet-Komponenten so verändern, dass serialisierte Keyrings vor lokaler Verschlüsselung exfiltriert werden.
- Credentials und Clipboard-Daten: Die restlichen fünf sollen über fest verdrahtete Command-and-Control-Strukturen (C2) Anmeldedaten und sogar Clipboard-Inhalte einsammeln.
Damit ist das Spektrum breit: Von passwortähnlichen Daten bis hin zu Wallet-Seed-/Schlüsselmaterial. Für Betroffene kann das schon nach einer einzigen erfolgreichen Installation gravierende Folgen haben.
Zwei Hauptmethoden: Fake-Seiten oder eingebauter Diebstahl
Die Berichte nennen zwei zentrale Ansätze, wie die Erweiterungen schließlich an Wallet-Infos kommen. Erstens: Die Erweiterung kann remote eine falsche Wallet-Seite laden, die Nutzerinnen und Nutzer zum Eingeben von sensiblen Daten verleiten soll. Zweitens: Die Schadlogik kann direkt in die Extension eingebaut sein, sodass die Datenabfrage ohne externe Lockseite erfolgt.
In beiden Fällen bleibt die Zielrichtung gleich: Wallet-Zugriff. Die Kampagne baut dabei offenbar auf eine Mischung aus Social Engineering und technischer Umsetzung, die sich an den typischen Workflows im Browser orientiert.
Warum das Erschleichen von Wallets so effizient ist
Ein wichtiger Punkt der Analyse betrifft die Wirtschaftlichkeit des Vorgehens. Die Forschenden weisen darauf hin, dass schon ein einziger erfolgreicher Vorfall Daten im Wertbereich exponieren kann, der weit über den Kosten liegt, die mit wiederholtem Veröffentlichen von Erweiterungen verbunden sind.
Gleichzeitig erhöhen die Angreifer ihre Ausdauer, indem sie die Identitäten und Veröffentlichungsartefakte rotieren. Dazu gehört das Umnutzen vorhandener Firefox-Erweiterungs-Identitäten, das Klonen von Code und das Aufteilen bösartiger Funktionen über unterschiedliche Komponenten. So bleibt das Vorgehen auch dann wirksam, wenn einzelne Versionen später entfernt werden.
Beispiele für betroffene Erweiterungsnamen
Die folgenden Beispiele werden im Rahmen der Untersuchung genannt. Die Namen verdeutlichen, wie stark sich die Bezeichnungen an verwandten Begriffen und „Web3“-Kontexten orientieren:
- Safe-Themes – Browser Extension (bliss-heaven@webbrol.com)
- Rabbit For Desktop (bright-save-feed@tabtools.org)
- ℞ab␢y Wa❘Iet (flex-clock-dash@extrakits.com)
- Rabb-Walӏet CryptoPortfolio (free-note-bolt@webtools.co)
- RABB-Walӏet Web3 & EVM (safe-stat-pure@proaddons.net)
- Rabbit/WALLET – EVM (sharp-stat-gear@netplugs.net)
Wichtig ist: Auch wenn einzelne Erweiterungen entfernt werden, können ähnliche Versionen unter veränderten Namen oder IDs wieder auftauchen.
Sport-Score-Shells als Tarnschicht
Die Analyse beschreibt, dass die Sport-Score-orientierten Erweiterungen über mehrere Identitäten hinweg eingesetzt wurden. Historische Versionen bestätigter schädlicher Identitäten sollen zunächst tatsächlich als Sport-Score-Shells für unterschiedliche Sportarten aufgetreten sein. Später seien dieselben Firefox-Identitäten umfunktioniert worden, sodass aus scheinbar harmlosen Add-ons Wallet-stehlende Erweiterungen wurden.
Ein weiterer Hinweis: Nicht jede schädliche Identität benötigt die Sportdaten-Komponente. Die Forscher erwähnen auch weitere bestätigte bösartige Identitäten, die keine Integration zu dem Sportdaten-Ansatz enthalten, jedoch nachweislich Wallet- oder Credential-stehlende Funktionen besitzen.
So schützen Sie sich als Nutzer:in
Auch wenn diese Kampagne aktuell dokumentiert ist, bleibt das Risiko grundsätzlich bestehen: Browser-Extensions können sich mit der Zeit verändern oder unter anderem Namen wieder auftauchen. Setzen Sie daher auf praktische Schutzmaßnahmen:
- Prüfen Sie Erweiterungen vor der Installation: Achten Sie auf Seriosität, Bewertungen und eine nachvollziehbare Beschreibung. Bei auffälligen Versprechen rund um Wallets oder „exklusiven Web3-Zugriff“ sollten Sie besonders skeptisch sein.
- Überwachen Sie Ihre installierten Add-ons: Entfernen Sie Erweiterungen, die Sie nicht aktiv verwenden oder deren Zweck unklar ist.
- Seien Sie vorsichtig bei Wallet-Interaktionen im Browser: Geben Sie Recovery Phrases oder private Keys niemals auf Seiten ein, die Sie nicht eindeutig verifizieren können.
- Aktivieren Sie Sicherheitsbewusstsein: Wenn eine Erweiterung unerwartet Berechtigungen anfordert oder plötzlich andere Funktionen nachlädt, ist das ein Warnsignal.
Durch konsequentes Vorgehen reduzieren Sie die Angriffsfläche deutlich – gerade, weil Angreifer die Installationsphase als entscheidenden Hebel nutzen.
Fazit: Aufmerksamkeit gegen maliziöse Firefox-Extensions
Die Entdeckung unterstreicht, wie gezielt maliziöse Firefox-Extensions heute vorgehen können: Tarnung als Web3-Tools oder harmlose Sport-/Utility-Shells, dynamische Lockseiten oder fest eingebaute Schadlogik sowie die Abgreifung von Recovery Phrases, privaten Keys und weiteren Wallet-Geheimnissen. Dass Funktionen über mehrere Komponenten verteilt werden, macht die Kampagne schwerer zu entschärfen und erklärt, warum sie trotz Entfernung einzelner Varianten weiterlaufen kann.
Wenn Sie regelmäßig Add-ons installieren oder Web3-Anwendungen im Browser nutzen, prüfen Sie Ihre Erweiterungen kritisch und behandeln Sie Wallet-Daten als absolut sensibel. So vermeiden Sie, dass eine einzige Installation zu einem großen Sicherheitsvorfall führt.
Quelle: https://thehackernews.com/2026/08/40-malicious-firefox-extensions-pose-as.html
