Une campagne de extensions malveillantes Firefox visant les utilisateurs Web3 met en évidence une menace concrète : des modules présentés comme des outils “crypto” ou des services pratiques contiennent en réalité des fonctions capables de voler des secrets de wallet. D’après une analyse menée par l’équipe Socket Threat Research, 40 extensions auraient été identifiées comme malveillantes, dans un ensemble plus large de 77 modules partageant des éléments techniques.
Le point le plus préoccupant est la manière dont ces add-ons trompent la confiance des internautes. Certains se présentent comme des produits connus de l’écosystème Web3, d’autres passent d’abord pour des “coquilles” inoffensives avant d’être transformées. L’objectif final reste le même : obtenir des informations sensibles, puis les exfiltrer à distance.
Une campagne identifiée : Offside Wallet Theft Factory
Les chercheurs attribuent la campagne au nom Offside Wallet Theft Factory. Les activités seraient en cours depuis mars 2026, sans qu’un acteur ou groupe malveillant connu n’ait été associé avec certitude à ce moment-là.
Selon l’analyse, les extensions ne seraient pas isolées : elles s’inscrivent dans un dispositif plus large de modules qui partagent du code et une infrastructure. Cette proximité technique facilite la réutilisation et la mise à jour rapide des fonctions malveillantes.
Pourquoi ces extensions sont si difficiles à repérer
Plusieurs mécanismes contribuent à la discrétion de l’attaque. D’abord, certaines extensions ont pu apparaître sur le marché officiel des extensions Firefox sous des identités liées au sport ou à des utilitaires. Ensuite, une fois installées, elles peuvent déclencher des comportements trompeurs sans que l’utilisateur comprenne immédiatement ce qui se passe.
Autre facteur : la campagne semble exploiter la possibilité de faire évoluer un module sous une même identité. Dans certains cas, des versions historiques de “coquilles” orientées score sportif auraient été reprises plus tard pour se transformer en extensions capables de voler des données de wallet.
Combien d’extensions et quels types d’intentions malveillantes ?
Les résultats distinguent deux ensembles. Extension-level analysis confirme que 40 extensions sont malveillantes. En parallèle, 37 autres modules seraient liés à une opération coordonnée de type “multi-sport score-shell”. Pour ces 37, l’analyse indique l’absence de “payload” de vol de crédentiales ou de wallet confirmé dans les builds examinées, mais leurs caractéristiques (fonctionnalité trompeuse, artefacts de publication partagés, historiques de versions) orientent vers une intention malveillante.
En pratique, la campagne combine plusieurs approches, du chargement de pages factices au stockage et à l’exfiltration de secrets directement intégrés dans l’extension.
Quelles marques et produits sont imités ?
Les chercheurs indiquent que certaines extensions se font passer pour des produits Web3 tels que OKX, Rabby Wallet et TronLink, ainsi que d’autres solutions du même écosystème. L’objectif de l’usurpation est simple : amener l’utilisateur à faire confiance, puis à interagir avec une page ou une fonctionnalité manipulée.
Les techniques de vol : pages factices, phrases de récupération et clés privées
Le vol des secrets de wallet reposerait sur deux grands schémas.
- Approche par page distante : l’extension peut charger à distance une page “fake” qui imite une interface de wallet.
- Approche intégrée : la fonctionnalité malveillante est “bâti” dans l’extension elle-même, puis déclenchée au moment opportun.
Dans les deux cas, les attaquants cherchent à obtenir des informations très sensibles comme des phrases de récupération, des clés privées ou encore l’état du wallet.
Des mécanismes variés pour collecter et exfiltrer les secrets
L’analyse décrit plusieurs familles de modules au sein de la campagne. Parmi les 40 identifiées :
- Sept extensions utiliseraient des projets Supabase contrôlés par l’acteur malveillant comme “commutateurs” distants. Ces commutateurs serviraient à déclencher un phishing par serveur ou à afficher du contenu leurre de façon dynamique.
- Quinze extensions captureraient des phrases de récupération, des clés privées et d’autres secrets de wallet, puis les enverraient via Cloudflare Workers.
- Treize extensions modifieraient des versions de Rabby Wallet et exfiltreraient des keyrings sérialisés avant leur éventuel chiffrement local.
- Cinq extensions restantes fonctionneraient avec une infrastructure de commande et contrôle (C2) codée en dur, pour récupérer des identifiants et des données copiées dans le presse-papiers.
Cette variété de méthodes suggère une logique d’optimisation : si une technique échoue dans un contexte donné, d’autres modules peuvent poursuivre la récolte ailleurs.
Des fonctions “inoffensives” qui masquent la menace
Une partie du camouflage repose sur des fonctionnalités sans rapport direct avec les wallets. Les chercheurs mentionnent des promesses typiques comme la génération de mots de passe, le mode sombre, l’accès VPN, la conversion de devises, la capture d’écran ou la prise de notes.
Dans l’opération orientée sport, les extensions “multi-sport” couvriraient des domaines comme le football, le basket, la NBA et le hockey. Elles annonceraient des fonctions liées aux données sportives tout en embarquant des composants permettant, à terme, la collecte de secrets.
Le détail qui trahit la fraude : un service sportif légitime associé à des fonctions détournées
Les chercheurs indiquent qu’un identifiant de connexion/clé codée en dur liée à API-Sports serait présente dans certaines extensions de la famille “sports score”. API-Sports est un service légitime fournissant des données sportives en temps réel.
Le contraste est important : l’existence d’un composant légitime rend le module plus crédible, tandis que la partie marketing masque des capacités malveillantes orientées wallet et crédentiales.
Exemples d’extensions citées dans l’analyse
Parmi les noms documentés, les chercheurs rapportent notamment :
- Safe-Themes – Browser Extension (bliss-heaven@webbrol.com)
- Rabbit For Desktop (bright-save-feed@tabtools.org)
- ℞ab␢y Wa❘Iet (flex-clock-dash@extrakits.com)
- Rabb-Walӏet CryptoPortfolio (free-note-bolt@webtools.co)
- RABB-Walӏet Web3 & EVM (safe-stat-pure@proaddons.net)
- Rabbit/WALLET – EVM (sharp-stat-gear@netplugs.net)
Ces exemples ne constituent pas une liste exhaustive. L’attaque semble aussi jouer sur la rotation des identités.
Pourquoi les attaquants persistent : économie et industrialisation
Un argument revient dans l’analyse : la rentabilité. Une seule installation réussie peut exposer des données de wallet d’une valeur très supérieure aux coûts liés à la publication répétée d’extensions. Autrement dit, même si certaines extensions sont retirées rapidement, la campagne peut rester efficace.
La persistance s’expliquerait aussi par la capacité à rendre l’opération “scalable” : rotation des noms et des identifiants, réutilisation d’identités existantes, clonage de code, séparation des fonctions malveillantes entre plusieurs extensions, pages distantes et infrastructures cloud.
Que faire si vous utilisez Firefox et des extensions Web3 ?
Sans entrer dans des actions techniques spécifiques, le message de fond est clair : soyez attentif à toute extension liée aux wallets et aux interfaces crypto. Vérifiez l’éditeur, regardez les descriptions et évitez d’installer des modules “par curiosité” ou via des liens non vérifiés.
Si vous pensez avoir installé une extension suspecte, le plus sûr est de la désactiver et de procéder à une revue de la sécurité de votre wallet. Dans ce type d’attaque, la protection dépend autant de la prévention que de la détection précoce.
Conclusion
Les extensions malveillantes Firefox identifiées par Socket Threat Research montrent que l’usurpation d’outils Web3 et la collecte de secrets de wallet ne relèvent pas de scénarios théoriques. Avec 40 extensions confirmées malveillantes et une infrastructure partagée, la campagne combine camouflage, pages factices et exfiltration via services cloud.
La bonne nouvelle, c’est que la vigilance reste un levier puissant : en vérifiant les extensions avant l’installation et en limitant l’ajout de modules non nécessaires, vous réduisez fortement la surface d’attaque.
Source: https://thehackernews.com/2026/08/40-malicious-firefox-extensions-pose-as.html
