Bösartige Firefox-Erweiterungen zielen auf Nutzer von Krypto-Wallets ab

Forscher haben eine Kampagne mit bösartigen Firefox-Erweiterungen entdeckt, die darauf ausgelegt sind, Wiederherstellungsphrasen von Krypto-Wallets und Browser-Zugangsdaten zu stehlen. Die Aktivitäten sollen mindestens seit März 2026 laufen.

Das Sicherheitsunternehmen Socket brachte 77 Firefox-Erweiterungsidentitäten mit der Operation in Verbindung. Davon stuften die Forscher 40 als bösartig ein, während weitere 37 offenbar irreführende Add-ons für Sportergebnisse waren.

Mozilla hat die identifizierten Erweiterungen aus seinem offiziellen Add-on-Store entfernt und auf eine Sperrliste gesetzt.

Gefälschte Wallet-Erweiterungen stehlen Wiederherstellungsphrasen

Eine Erweiterung namens „0KX WEB3“ gab sich als die Kryptobörse OKX aus, indem sie den Buchstaben „O“ durch eine Null ersetzte. Obwohl sie scheinbar eine Krypto-Wallet anbot, fanden die Forscher keine echte Wallet-Funktionalität.

Stattdessen nutzte das Add-on einen lokalen Notizblock als Tarnung und leitete Nutzer gleichzeitig zu einer extern geladenen Seite weiter. Diese Seite forderte die Opfer dazu auf, ihre Wallet zu importieren und eine Wiederherstellungsphrase einzugeben.

Wer eine Seed-Phrase übermittelte, könnte den Angreifern vollständigen Zugriff auf die zugehörige Krypto-Wallet gewährt haben. Da Wiederherstellungsphrasen die Kontrolle über sämtliche Vermögenswerte in einer Wallet ermöglichen können, kann der Schaden unmittelbar und irreversibel sein.

Add-ons für Sportergebnisse dienten als irreführende Tarnung

Die Kampagne nutzte außerdem harmlos wirkende Erweiterungen für Sportergebnisse. Diese Add-ons zeigten Echtzeitergebnisse für Sportarten wie Fußball, Basketball und Eishockey an.

Die Forscher erklärten jedoch, dass die Erweiterungen technische Verbindungen zu der Operation zum Diebstahl von Krypto-Wallets aufwiesen. Ihr offensichtlicher Zweck bestand darin, Vertrauen bei Nutzern und Prüfern des App-Stores aufzubauen, bevor sie aktualisiert oder für bösartige Aktivitäten umfunktioniert wurden.

Einige Erweiterungen warben für nicht damit zusammenhängende Tools wie Passwortgeneratoren, Dark-Mode-Funktionen, VPN-Dienste, Screenshot-Tools und Notiz-Apps.

Angreifer nutzten ferngesteuerte Phishing-Seiten

Die gefälschte Wallet-Erweiterung enthielt eine fest einprogrammierte Supabase-Projektadresse und einen API-Schlüssel. Supabase ist eine legitime Cloud-Plattform, doch die Angreifer sollen das Projekt als Fernsteuerungssystem genutzt haben.

Wenn ein Opfer die Erweiterung öffnete, rief diese aktualisierte Inhalte aus dem entfernten Projekt ab. Die Angreifer konnten anschließend das Phishing-Ziel ändern, ohne ein neues Update für die Erweiterung veröffentlichen zu müssen.

Dieser Ansatz machte die bösartigen Firefox-Erweiterungen flexibler als einen typischen Infostealer. Anstatt Daten direkt aus dem Browser zu stehlen, leiteten sie die Opfer zu überzeugenden Phishing-Seiten weiter.

Mozilla entfernte die betrügerischen Add-ons

Socket meldete seine Erkenntnisse an Mozilla, woraufhin das Unternehmen die betrügerischen Erweiterungen entfernte und auf eine Sperrliste setzte. Mozilla hat außerdem Schutzmaßnahmen eingeführt, die darauf abzielen, gefälschte Add-ons für Krypto-Wallets zu erkennen.

Dennoch verdeutlicht die Kampagne die Risiken, die mit Browser-Erweiterungen verbunden sind. Ein Add-on kann legitim erscheinen, eine nützliche Funktion bieten und später ein bösartiges Update erhalten.

Nutzer sollten Erweiterungen nur von vertrauenswürdigen Entwicklern installieren, Berechtigungen sorgfältig prüfen und niemals die Wiederherstellungsphrase einer Krypto-Wallet in eine Browser-Erweiterung oder auf einer Website eingeben, sofern sie deren Legitimität nicht unabhängig überprüft haben.