16 tiện ích Firefox giả mạo ví Rabby và OKX để đánh cắp cụm khôi phục
"Researchers identified 16 malicious Mozilla Firefox extensions impersonating Rabby and OKX Wallet to steal cryptocurrency wallet recovery phrases and private keys during wallet import flows. The extensions exfiltrated secrets to attacker-controlled Cloudflare Workers infrastructure, and all identified add-ons were removed by October 5, 2026; affected users are advised to create new wallets from a clean system and move assets."
Rủi ro cao do đánh cắp recovery phrase/private key, có thể dẫn đến mất toàn bộ tài sản ví nếu người dùng nhập thông tin vào tiện ích giả mạo.
Có thể gây gián đoạn vận hành cho người dùng và bộ phận hỗ trợ, đồng thời làm tăng chi phí xử lý sự cố và kiểm tra an toàn trình duyệt.
Các nhà nghiên cứu an ninh đã phát hiện 16 tiện ích mở rộng Mozilla Firefox độc hại giả mạo Rabby Wallet và OKX Wallet nhằm đánh cắp cụm khôi phục và khóa riêng của ví tiền mã hóa. Theo phân tích, mã độc chặn dữ liệu trong luồng nhập ví rồi gửi thông tin nhạy cảm về hạ tầng Cloudflare Workers do kẻ tấn công kiểm soát.
Trong số này, 4 tiện ích là bản sao của Rabby Wallet, còn lại nhắm vào OKX Wallet. Hầu hết các add-on đều liên hệ tới miền "*.icy-star-f45c.workers[.]dev". Hoạt động này được đánh giá là tiếp nối một chiến dịch trước đó, với việc thay đổi tên gói, phiên bản, ID tiện ích và mô tả, nhưng vẫn giữ nguyên logic xử lý thông tin xác thực và hạ tầng mạng.
Tính đến 05/10/2026, toàn bộ tiện ích đã bị gỡ bỏ. Người dùng đã cài đặt các tiện ích này và nhập recovery phrase hoặc private key thật cần coi như đã bị lộ. Khuyến nghị kỹ thuật là tạo ví mới từ hệ thống sạch, sau đó chuyển toàn bộ tài sản sang ví mới và rà soát lại các tiện ích trình duyệt đang sử dụng.