veilletech.frCe qui se passe
L'équipe Socket Threat Research a identifié 40 extensions Firefox malveillantes qui se font passer pour des produits Web3 connus — OKX, Rabby Wallet, TronLink — afin de dérober des portefeuilles de cryptomonnaie.
Ces 40 modules font partie d'un ensemble plus large de 77 extensions qui partagent du code source et des recoupements d'infrastructure. La campagne, baptisée Offside Wallet Theft Factory par les chercheurs, serait active depuis mars 2026. Elle n'est attribuée à aucun groupe connu.
Les 37 extensions restantes forment ce que Socket décrit comme une opération coordonnée de coquilles à thème sportif. Leurs versions analysées ne contiennent pas de charge de vol confirmée, mais leur fonctionnement trompeur et leurs artefacts de publication partagés trahissent la même intention.
Comment elles opèrent
Le vol suit deux voies : soit une fausse page de portefeuille chargée à distance, soit la fonctionnalité directement intégrée à l'extension. La répartition documentée par Socket :
- 15 extensions capturent phrases de récupération, clés privées et autres secrets, puis les exfiltrent via des Cloudflare Workers.
- 13 extensions sont des versions modifiées de Rabby Wallet, qui exfiltrent le trousseau sérialisé avant son chiffrement local.
- 7 extensions utilisent des projets Supabase contrôlés par les attaquants comme interrupteurs à distance, pour servir dynamiquement du hameçonnage ou du contenu leurre.
- 5 extensions capturent identifiants et presse-papiers via une infrastructure de commande et contrôle codée en dur.
Le point le plus retors concerne le cycle de vie. Certaines de ces extensions ont d'abord été publiées sur la place de marché officielle comme de simples afficheurs de scores sportifs ou utilitaires — puis transformées en voleurs de portefeuille sous le même identifiant Firefox. Neuf identités malveillantes confirmées ont suivi ce chemin.
Les 37 coquilles sportives partagent un identifiant codé en dur pour API-Sports, un service légitime de données sportives en temps réel, tout en se présentant comme générateurs de mots de passe, modes sombres, VPN ou outils de capture d'écran.
Pourquoi ça persiste
L'économie de l'attaque explique tout. Comme le résume le chercheur Kirill Boychenko, une seule installation réussie peut exposer une phrase de récupération ou un portefeuille dont la valeur dépasse de loin le coût de republier indéfiniment des extensions jetables.
Rotation des noms et des identifiants, réutilisation d'identités existantes, clonage de code, et répartition de la fonction malveillante entre l'extension, des pages distantes et l'infrastructure cloud : chaque élément rend la republication bon marché et industrialisable, même quand les extensions individuelles sont retirées rapidement.
Ce qu'il faut faire
Vérifiez l'éditeur et l'identifiant de vos extensions de portefeuille, pas seulement leur nom affiché. Les noms des extensions recensées utilisent des caractères Unicode qui imitent visuellement les lettres latines — le nom paraît correct à l'œil et ne l'est pas.
Méfiez-vous d'une extension installée pour une fonction anodine qui réclame soudain de nouvelles permissions ou change de comportement : c'est la signature du détournement d'identifiant décrit ici.
À retenir
Le contrôle d'une place de marché porte sur la version soumise, pas sur toutes celles qui suivront sous le même identifiant. Une extension inoffensive peut devenir malveillante après votre installation, sans que rien ne change à vos yeux.
Source : The Hacker News