40 tiện ích Firefox giả mạo ví Web3 để đánh cắp dữ liệu ví
"Security researchers identified 40 malicious Mozilla Firefox extensions that impersonated Web3 wallet products such as OKX, Rabby Wallet, and TronLink to steal cryptocurrency wallet secrets. The campaign, active since March 2026 and dubbed Offside Wallet Theft Factory, used fake wallet pages, embedded credential-stealing code, and cloud infrastructure to exfiltrate recovery phrases, private keys, keyrings, clipboard data, and other sensitive data; no CVE was reported and the extensions were removed or repurposed over time."
Rủi ro cao do đánh cắp recovery phrase/private key, có thể dẫn đến mất toàn bộ tài sản ví và lộ dữ liệu nhạy cảm qua hạ tầng cloud/C2.
Có thể gây thiệt hại tài chính trực tiếp, gián đoạn vận hành của đội ngũ dùng ví Web3 và tăng chi phí ứng phó sự cố/điều tra.
Các nhà nghiên cứu bảo mật đã phát hiện 40 tiện ích mở rộng Mozilla Firefox độc hại giả mạo các sản phẩm ví Web3 như OKX, Rabby Wallet và TronLink để đánh cắp bí mật ví tiền mã hóa. Chiến dịch này, được đặt tên Offside Wallet Theft Factory, được cho là hoạt động từ tháng 3/2026 và không được gán cho một tác nhân đe dọa cụ thể.
Theo phân tích, nhóm tiện ích này nằm trong một cụm 77 add-on có chung mã nguồn và hạ tầng. Trong số đó, 7 tiện ích dùng Supabase làm công tắc từ xa để chuyển sang nội dung lừa đảo; 15 tiện ích thu thập recovery phrase, private key và dữ liệu nhạy cảm khác rồi gửi ra ngoài qua Cloudflare Workers; 13 bản dựng Rabby Wallet trích xuất keyring trước khi mã hóa cục bộ; và 5 tiện ích còn lại lấy cắp thông tin đăng nhập cùng dữ liệu clipboard qua hạ tầng C2 cố định.
Khuyến nghị kỹ thuật: rà soát toàn bộ Firefox Add-ons, gỡ bỏ tiện ích không rõ nguồn gốc, kiểm tra dấu hiệu giả mạo giao diện ví, và ưu tiên lưu trữ khóa riêng trong ví phần cứng hoặc cơ chế quản lý khóa tách biệt. Với người dùng tiền mã hóa, cần cảnh giác trước tiện ích yêu cầu nhập seed phrase hoặc quyền truy cập bất thường.