安全公司Socket發現Firefox惡意錢包擴展活動

安全公司Socket發現一批針對Firefox用戶的惡意加密錢包擴展，並將其關聯至名爲「Offside Wallet Theft Factory」的攻擊活動，目前已關聯77個擴展身份，其中40個被確認具有惡意行爲，活動時間至少從2026年3月持續至8月。

這些擴展主要僞裝成OKX、Rabby Wallet、TronLink等知名Web3錢包，通過高度仿真的錢包界面誘導用戶導入已有錢包，竊取助記詞或私鑰，其中約一半直接要求用戶輸入助記詞，另有13個爲被篡改的Rabby版本會在用戶保存錢包賬戶信息時將數據發送至外部服務器，另有5個擴展會收集已保存憑證及剪貼板內容。

Socket還發現至少9個惡意擴展此前曾以足球、籃球、NBA等體育比分應用形式運營，積累用戶和評價後再通過更新替換爲錢包竊取代碼，此外還有37個擴展僞裝成密碼生成器、VPN、匯率轉換器等工具，實際運行體育比分程序。

Socket提醒，若用戶曾在相關擴展中輸入助記詞或私鑰，應視爲錢包憑證已永久泄露，僅卸載擴展無法撤銷已經外傳的助記詞或私鑰，應立即將資產轉移至全新錢包。

市場機制層面，惡意擴展通過僞裝知名錢包與體育應用積累信任後竊取私鑰，資金從受害用戶錢包流向攻擊者控制地址，事件驅動型風險推升安全審計與官方錢包使用需求，受益者爲正規安全公司與原生錢包開發者，承壓者爲依賴瀏覽器擴展的Web3用戶羣體。

來源：公開信息