16 расширений Firefox воровали крипто-кошельки
Коротко: Исследователи компании Socket обнаружили 16 вредоносных расширений для Firefox, которые выдавали себя за популярные крипто-кошельки Rabby и OKX. Под видом официальных инструментов расширения просили ввести секретную фразу восстановления или приватный ключ — и незаметно отправляли их через облачные серверы Cloudflare Workers на серверы злоумышленников. Mozilla удалила найденные расширения из каталога к 5 октября 2026 года, но похожие кампании под новыми именами продолжаются.
Что произошло
Специалисты Socket Threat Research выявили 16 расширений в официальном каталоге Firefox Add-ons, нацеленных на пользователей DeFi-кошельков Rabby (Ethereum) и OKX Wallet. Четыре расширения были собраны на основе исходного кода настоящего Rabby Wallet, ещё двенадцать копировали интерфейс OKX. Внешне они выглядели как обычные утилиты — менеджеры портфеля, инструменты для свопов, десктопные клиенты — и какое-то время работали корректно, чтобы не вызывать подозрений.
По оценке исследователей, кампания шире: ранее та же группа связывалась с сетью из 77 расширений для Firefox, часть которых распространяла фишинговые страницы, а часть — напрямую перехватывала данные из буфера обмена и формы ввода секретных фраз. Активность фиксировалась как минимум с марта по август 2026 года.
Как работала кража
Ловушка срабатывала в момент «импорта» кошелька: расширение показывало знакомый интерфейс ввода seed-фразы или приватного ключа — ровно такой же, как у настоящего приложения. Введённые данные уходили в открытом виде, ещё до локального шифрования, на узлы Cloudflare Workers, подконтрольные авторам вредоноса. Получив секретную фразу, злоумышленник получает полный и необратимый доступ к кошельку: может вывести все средства без участия жертвы и без возможности отмены операции.
Это принципиально иной тип угрозы, чем взлом сайта или утечка базы данных: здесь пользователь сам, добровольно, передаёт ключ от своих денег поддельному интерфейсу. Разбор похожих схем кражи учётных данных есть и в других наших новостях о приватности.
Что это значит для обычных пользователей
Официальный каталог расширений — не гарантия безопасности: вредоносные дополнения проходят модерацию Mozilla и неделями остаются доступными для установки. Под ударом в первую очередь владельцы криптовалют, но сама механика — поддельное расширение, имитирующее доверенный интерфейс, — применима к банковским приложениям, почтовым клиентам и менеджерам паролей. Если вы когда-либо вводили seed-фразу в расширение, скачанное не с официального сайта кошелька, стоит считать её скомпрометированной.
Как защититься
Устанавливайте расширения только по прямой ссылке с официального сайта проекта, а не через поиск в каталоге браузера — поддельные копии часто оказываются выше в выдаче за счёт накрученных отзывов. Проверяйте издателя расширения, дату последнего обновления и количество реальных, а не ботовых оценок. Секретную фразу восстановления в принципе не нужно вводить никуда, кроме самого приложения кошелька при первой настройке — ни один легитимный сервис не запрашивает её повторно через веб-интерфейс.
Если вы подозреваете, что уже вводили фразу в сомнительное расширение, создайте новый кошелёк в чистом окружении и переведите средства — отменить компрометацию ключа нельзя, только заменить его. Отдельный слой защиты — контроль собственного сетевого трафика: приложение LiMP VPN шифрует соединение и скрывает от провайдера и владельца сети, к каким сервисам вы обращаетесь, что снижает шанс попасть на поддельную страницу через перехват DNS-запроса на незащищённом Wi-Fi. VPN не заменяет внимательность при установке расширений, но закрывает другой канал атаки — на уровне сети, а не браузера. Подробнее о том, какие функции VPN реально защищают данные, можно прочитать на странице возможностей LiMP VPN.