Beveiligingsbedrijf Socket heeft 16 kwaadaardige Firefox-extensies ontdekt die de cryptowallets Rabby Wallet en OKX Wallet imiteren om recovery phrases en private keys te stelen. Vier extensies doen zich voor als Rabby Wallet, de overige twaalf als OKX Wallet. Ze presenteren zich als walletportals, desktophulpprogramma’s en browsertools, maar onderscheppen op de achtergrond de herstelzin of privésleutel die een slachtoffer invoert bij het importeren van een wallet.
Onderzoeker Joseph Edwards van Socket beschrijft in de analyse “firefox-crypto-wallet-stealers” hoe de extensies die gegevens doorsturen naar servers van de aanvaller. Vijftien van de zestien extensies communiceren met subdomeinen volgens hetzelfde patroon, gehost via Cloudflare Workers. Alleen de naam, versie en extensie-ID verschillen per exemplaar: de walletinterface, de code die inloggegevens verwerkt en de netwerkinfrastructuur erachter zijn telkens identiek.
Volgens Socket is dit een nieuwe golf in een campagne die het bedrijf al langer volgt. In augustus 2026 ontdekte Socket al 40 vergelijkbare extensies die zich voordeden als Web3-producten. De aanvallers passen telkens kleine details aan om detectie te omzeilen, maar de kern van hun werkwijze blijft hetzelfde.
Mozilla heeft alle zestien extensies per 5 oktober uit de Firefox-add-onwinkel verwijderd. Hoeveel gebruikers de extensies voor die tijd hebben geïnstalleerd, is niet bekend.
Heb je een van deze extensies gebruikt en ooit een echte recovery phrase of private key ingevoerd, ga dan uit van diefstal: maak een nieuwe wallet aan vanaf een schone installatie en verplaats eventuele tegoeden direct. Check ook los daarvan welke extensies in je browser staan en verwijder wat je niet herkent of niet gebruikt, zeker als die toegang kan hebben tot een wallet.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Gebruiken medewerkers in jouw organisatie browserextensies voor cryptowallets of andere Web3-diensten, neem die dan op in het beleid voor toegestane extensies. Extensies met toegang tot wallets of financiële gegevens verdienen standaard extra controle, en bij twijfel over compromittering is een nieuwe wallet vanaf een schone installatie de veiligste keuze.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.