Zeker in de wereld van crypto geldt één regel: behandelt een wallet-app je geheime herstelzin alsof die “gewoon ingevuld kan worden”, dan is het goed mis. Securityonderzoekers ontdekten recent malicious Firefox-extensies die zich voordoen als tools van bekende crypto-wallets en daarbij recovery-phrases en private keys proberen te stelen.
In dit artikel lees je wat er precies is gevonden, hoe de aanvallen werken en wat je kunt doen als je één van de verdachte extensies hebt geïnstalleerd.
Wat onderzoekers vonden: nep-walletextensies in Firefox
Onderzoekers identificeerden een cluster van 16 kwaadaardige Mozilla Firefox-extensies. Hoewel de add-ons vermomd zijn als walletportalen, desktophulpprogramma’s en browsertools, zit er onder de motorkap code die gevoelige gegevens onderschept.
Concreet is de bedoeling om tijdens het importeren van een wallet:
- recovery-phrases (mnemonic zinnen) op te vangen
- private keys te verzamelen
- die geheimen vervolgens te exfiltreren naar een domein dat door aanvallers wordt beheerd
Volgens de analyse probeerden de extensies de gestolen informatie te verzenden naar attacker-controlled infrastructuur via Cloudflare Workers.
Rabby en OKX als camouflage
Vier van de gevonden extensies zijn klonen van Rabby Wallet. De overige add-ons richten zich op klonen van OKX Wallet. De makers roteren daarbij bewust hoe de extensie “lijkt” op de gebruiker.
Dat betekent dat namen, versies, extensie-ID’s en beschrijvingen kunnen verschillen, terwijl de kernlogica hetzelfde blijft. Denk aan dezelfde gebruikersinterface-ervaring, dezelfde manier om herstelgegevens te verwerken en dezelfde netwerkcomponenten om die gegevens door te sturen.
Techniek achter de aanval: onderscheppen tijdens import
Het opvallende aan deze campagne is niet alleen de vermomming, maar vooral het moment waarop de extensie actief wordt. Tijdens wallet-import flows probeert de code de herstelgegevens te onderscheppen en door te sturen.
Uit de bevindingen blijkt bovendien dat de meeste extensies contact maken met een specifiek domeinpatroon: *.icy-star-f45c.workers[.]dev. Daarmee is het doel duidelijk: de geheimen moeten uit de browseromgeving verdwijnen richting de aanvaller.
De onderzoekers beschouwen dit als een voortzetting van een eerdere golf die al eerder in 2026 is beschreven. Bij dergelijke campagnes zie je vaak dat aanvallers snel “doorpakken” zodra varianten worden ontdekt of verwijderd.
Welke extensies waren het?
Het onderzoek noemt meerdere extensienaam/versiecombinaties. Zonder iedereen één-op-één over te nemen als handleiding voor het misbruik, is het wel belangrijk om te weten dat het om de volgende varianten ging:
- view-focus-bright@webtools.co@6.12.2
- quick-track-nest@tabtools.co@8.1.18
- vibe-kit-tool@fasttools.co@9.21.9
- edge-hub-snap@protools.net@4.12.24
- core-hub-peak@neattools.example@8.24.21
- sipoo-grozza@browserweb.com@2.1
- mozart-seo@webtools.com@1.4
- clean-file-bar@neattools.com@4.21.8
- clean-net-timer@plugify.example@4.17.1
- manager-square@webtools.com@1.4
- manager-course@webtools.com@1.4
- val-andrew@browserweb.com@1.4
- manager-team@webtools.com@1.4
- valory-andrew@browserweb.com@1.4
- franklin-uk@browserweb.com@1.4
- franklin-uro@browserweb.com@1.4
Op 5 oktober 2026 zijn de extensies volgens de onderzoekers allemaal verwijderd.
Wat je nu moet doen als je ze ooit hebt geïnstalleerd
Zelfs als de extensies inmiddels offline zijn gehaald, kan de schade aan je wallet nog relevant zijn. Daarom adviseren de onderzoekers gebruikers die een verdachte extensie hebben geïnstalleerd en een echte recovery phrase of private key hebben ingevoerd in de nep-interface om uit te gaan van compromis.
Stappenplan voor snelle respons
- Controleer je geïnstalleerde extensies en verwijder add-ons die je niet nodig hebt of niet vertrouwt.
- Maak een nieuwe wallet aan vanuit een schone omgeving (dus: geen browserprofiel of pc waar de extensie eerder actief was).
- Verplaats je assets naar die nieuwe wallet, zodat je vermogen niet meer afhankelijk is van dezelfde secrets.
Dit is extra belangrijk omdat de extensies juist ontworpen waren om herstelgegevens te onderscheppen tijdens een moment waarop gebruikers normaal gesproken niets vermoedden.
Waarom dit past in een grotere trend van malafide browserextensies
De ontdekking sluit aan bij een reeks eerdere meldingen over kwaadaardige of twijfelachtige add-ons in meerdere browsers. In de periode ervoor zagen onderzoekers bijvoorbeeld:
- Firefox-extensies die zich voordoen als hulpmiddel voor document/identiteitschecks, maar alsnog een payload ophalen en JavaScript injecteren om sessie-cookies te stelen.
- Grote clusters van kwaadaardige browserextensies voor Chrome en Edge die data verzamelen en het browsertab “stiekem” kunnen omleiden.
- Extensies die zich voordoen als privacy- of productiviteitstools, maar gebruikers verkeer sturen naar wallet-phishingpagina’s.
- Toevoegingen met “anti-phishing”-claims die nooit echt waarschuwen, maar wel URLs doorsturen naar de aanvaller.
De rode draad is dat attackers steeds vaker werken met een combinatie van misleiding (branding, namen, interface) en gedragsmatige diefstal (interceptie van input, exfiltratie, of omleiding van verkeer).
Praktische tips om walletdiefstal via extensies te voorkomen
Je kunt dit type risico niet volledig uitsluiten, maar je kunt het wel sterk verkleinen.
Voor consumenten
- Installeer alleen extensies die je echt nodig hebt en check regelmatig of ze nog nodig zijn.
- Wees extra kritisch bij wallet-gerelateerde tools die zich voordoen als officiële alternatieven.
- Als je een recovery phrase of private key invoert in een interface die je niet 100% vertrouwt: stop en verifieer eerst.
Voor organisaties
- Voer periodieke inventarisatie uit van extensies in managed omgevingen.
- Gebruik runtime monitoring en tools die verdachte gedragingen kunnen signaleren in plaats van alleen op “lijstjes” te vertrouwen.
- Beperk toegang tot wallets waar mogelijk via beleid en segmentatie.
Die aanpak sluit aan op wat onderzoekers adviseren: niet alleen verwijderen wanneer het te laat is, maar eerder detecteren en beheersen.
Gerelateerd: ook nep-ontsluitingssoftware en kwaadaardige extensies omzeilen controles
Hoewel dit artikel over browserextensies gaat, zie je in cyberfraude vaak hetzelfde patroon: aanvallers maken een “schijnoplossing” die je vertrouwen misbruikt. Bijvoorbeeld via fake decryptietools voor ransomwareherstel. Het mechanisme is vergelijkbaar: gebruikers krijgen een interface voorgeschoteld die belooft te helpen, terwijl er ondertussen data wordt afgetapt of schade wordt verplaatst.
Ook in andere eerdere meldingen draait het om misleiding via applicaties en tools die in de praktijk niet doen wat ze zeggen. Daarom loont het om niet alleen naar de content van de extensie te kijken, maar ook naar het gedrag dat het in je browser uitvoert.
Conclusie
Malicious Firefox-extensies die zich voordoen als Rabby- of OKX-wallettools, zijn gericht op één doel: het stelen van recovery-phrases en private keys tijdens wallet-import flows. Hoewel de gevonden varianten inmiddels zijn verwijderd, blijft het advies helder: als je verdachte extensies hebt gebruikt en echte recoverygegevens hebt ingevoerd, ga dan uit van compromis en zet je assets om naar een nieuwe wallet vanaf een schone omgeving.
Door extensies kritisch te kiezen, regelmatig te controleren en gedrag te monitoren, verklein je de kans dat een nep-tool ooit toegang krijgt tot je meest waardevolle secrets.
Bron: https://thehackernews.com/2026/10/16-malicious-firefox-extensions-pose-as.html
