サイバーセキュリティ企業Socketは19日、人気Webブラウザ「Firefox」で、77件の拡張機能に関連する攻撃キャンペーンを特定したと発表した。
このうち40件では、暗号資産（仮想通貨）ウォレットの秘密情報や認証情報を窃取する悪質な機能が確認された。残る37件は、無関係なツールを装いながらスポーツの試合結果を表示する拡張機能だった。
なお、悪質なウォレット窃取アドオンとして確認された40件の中には、当初スポーツスコアアプリとして公開された後、アップデートによってウォレットを狙うマルウェアへと転換された9件も含まれていた。
Socketはこの一連の攻撃を「Offside Wallet Theft Factory（オフサイド・ウォレット窃盗工場）」と名付けている。
調査では、コードの再利用や拡張機能のクローン、アドオンサイト上の説明、アドオンID、ウォレットの偽装、バージョン履歴などを分析し、相互に関連する77件の拡張機能を追跡した。Socketによると、今回の攻撃は少なくとも2026年3月から運用され、8月まで続いていた。
悪質な拡張機能は主にOKX、Rabby Wallet、TronLinkなどの人気ウォレットを偽装し、複数の手法でユーザーの秘密情報を窃取していた。
7件では、攻撃者が管理するSupabaseプロジェクトを利用し、遠隔操作でフィッシングコンテンツに切り替えられる仕組みを組み込んでいた。例えば、「0KX WEB3」はOKXの頭文字「O」をゼロに置き換えた名称を使用し、正規ウォレットを模倣していたが、実際にはウォレット機能を備えていなかった。
その代わりに、ポップアップ画面で外部のWebサイトを読み込み、非アクティブ時には偽のローカルメモ帳画面を表示し、インストール時やアップデート後には指定されたURLを開く仕組みになっていた。この外部ページで、ユーザーにウォレットの作成・インポートを促し、リカバリーフレーズや秘密鍵の入力を要求していた。
この拡張機能は、端末内のウォレットや保存済み認証情報を直接取得するのではなく、ユーザーに外部の画面へリカバリーフレーズなどの秘密情報を入力させて窃取する手法を採用している。
別のグループでは、ウォレットの画面や情報窃取機能をFirefoxの拡張機能本体に直接組み込んでいた。15件の拡張機能では、リカバリーフレーズや秘密鍵などのウォレット秘密情報を取得し、攻撃者が管理するCloudflare Workersへ送信していた。なお、Cloudflare Workersは正規のサービスだが、攻撃者はその一部を窃取データの送信先として悪用していた。
13件の拡張機能では、Rabby Walletのコードを改変し、暗号化される前のウォレットのキーチェーンデータを外部サーバーへ送信するコードが仕込まれていた。また別の5つの拡張機能は、コード内にあらかじめ埋め込まれた攻撃者の指令サーバーを通じて、認証情報やクリップボードのデータを盗み取っていた。
残る37件の拡張機能は、パスワード生成、ダークモード、VPNアクセス、通貨換算、スクリーンショット撮影、メモ作成ツールなどを装っていたが、実際にはサッカー、バスケットボール、ホッケーなどのスポーツの試合結果を表示する機能が組み込まれていた。これらはすべて、正規のスポーツデータ提供サービスが発行した同一認証情報をコードに組み込んでいた。
Socketが分析した現時点のビルドに、ウォレットや認証情報を盗むコードは見つかっていないが、公開履歴やコード内容、拡張機能IDに共通点があることから、同一の攻撃活動の一部とみなされている。
しかし、悪質なアドオンとして確定された9件では、過去のバージョンがスポーツスコアアプリだったにもかかわらず、その後のアップデートでウォレット窃取機能へ置き換えられていたことが判明している。
Socketは拡張機能について、既存の権限の範囲内であれば、追加の確認を求めることなく動作を変更できるため、各バージョンを継続的に分析することが不可欠だと強調している。
同社は20日、これまで対応していたブラウザ拡張機能の安全性監視機能をFirefoxにも拡張したと発表した。公式ストアに登録された9万7,000件超の拡張機能を対象に、マルウェアや不審な挙動、過剰な権限、危険なアップデートなどを検出・監視するサービスを開始したという。