پژوهشگران امنیت سایبری مجموعه‌ای از ۱۶ افزونه (Extension) مخرب در مرورگر Mozilla Firefox را شناسایی کرده‌اند که قادر به سرقت عبارت‌های بازیابی (Recovery Phrases) و کلیدهای خصوصی (Private Keys) کیف پول‌های رمز ارز هستند.
مکانیسم حمله و جعل هویت
این افزونه‌ها خود را به عنوان پورتال‌های کیف پول، ابزارهای کاربردی دسکتاپ و ابزارهای مرورگر معرفی می‌کنند. با این حال، کد آن‌ها به گونه‌ای طراحی شده است که در طول فرآیند وارد کردن (Import) کیف پول، عبارت‌های بازیابی و کلیدهای خصوصی را رهگیری کرده و این اطلاعات حساس را به Cloudflare Workers تحت کنترل مهاجم ارسال می‌کند.
از میان این افزونه‌ها، چهار مورد کپی‌های جعلی از Rabby Wallet و مابقی نسخه‌های تقلیدی از OKX Wallet هستند. تقریباً تمام این افزونه‌ها برای ارتباط با دامنه *.icy-star-f45c.workers[.]dev استفاده می‌کردند تا داده‌های سرقت شده را خارج کنند.
تحلیل رفتار عامل تهدید
بررسی‌ها نشان می‌دهد که این فعالیت‌ها ادامه موج حملاتی است که در اوت ۲۰۲۶ مستند شده بود. عامل تهدید (Threat Actor) با تغییر مداوم نام بسته‌ها، نسخه‌ها، شناسه‌های افزونه (Extension IDs) و توضیحات، سعی در دور زدن سیستم‌های شناسایی داشته است، اما در عین حال از رابط‌های کاربری، منطق مدیریت اعتبارنامه‌ها و زیرساخت شبکه‌ای مشابهی استفاده کرده است.
اقدامات توصیه‌شده برای کاربران و سازمان‌ها
تا تاریخ ۵ اکتبر ۲۰۲۶، تمامی این افزونه‌ها حذف شده‌اند. با این حال، کاربرانی که هر یک از این افزونه‌ها را نصب کرده و عبارت بازیابی یا کلید خصوصی خود را در رابط‌های جعلی وارد کرده‌اند، باید فرض کنند که کیف پول آن‌ها به خطر افتاده است. در چنین شرایطی توصیه می‌شود:
- بلافاصله یک کیف پول جدید در یک سیستم پاک (Clean System) ایجاد کنند.
- تمامی دارایی‌های خود را به کیف پول جدید منتقل نمایند.
به سازمان‌ها نیز توصیه می‌شود برای مقابله با این دست تهدیدات، موارد زیر را اجرا کنند:
- حسابرسی (Audit) افزونه‌های نصب شده در محیط‌های مدیریت‌شده.
- به‌کارگیری رویکردهای نظارت در زمان اجرا (Runtime Monitoring).
- استقرار فناوری‌های نظارتی مبتنی بر رفتار (Behavior-based Monitoring) برای شناسایی فعالیت‌های مشکوک در مرورگرها.
