Over 40 Malicious Wallet Extensions on Firefox: The Crypto Heist Hiding in Your Browser

Über 40 schadhafte Firefox-Erweiterungen tarnen sich als Krypto-Tools

Koi Security has uncovered an ongoing campaign involving over 40 malicious Firefox extensions that impersonate popular crypto wallets, inflate reviews to gain trust, and stealthily steal users’ wallet credentials, with possible links to a Russian-speaking threat actor. The post FoxyWallet Campaign Exposes Over 40 Malicious Firefox Extensions Targeting Crypto Users appeared first on Metaverse Post.

Separate threats to popular browsers highlight the growing security risk for enterprises presented by the original gateway to the Web, which remains an integral tool for corporate users.

Firefoxの偽拡張機能にご注意！暗号資産ウォレットの秘密鍵を盗む手口を解説します。

Over 40 malicious Firefox extensions steal crypto wallet credentials. Protect yourself from the FoxyWallet campaign.

IT-Sicherheitsforscher haben eine groß angelegte Kampagne mit bösartigen Firefox-Add-ons entdeckt. Die räumen Krypto-Wallets leer.

Over 40 Malicious Wallet Extensions on Firefox: The Crypto Heist Hiding in Your Browser

Koi Security は2025年4月以降、MozillaのFirefoxアドオンストアにて悪意ある拡張機能が40種類以上確認され、仮想通貨ウォレットの機密情報を盗み取る大規模な攻撃キャンペーン「FoxyWallet」が進行中であることを指摘しました。

IT security researchers have discovered a large-scale campaign with malicious Firefox add-ons. They empty crypto wallets.

IT-Sicherheitsforscher haben eine groß angelegte Kampagne mit bösartigen Firefox-Add-ons entdeckt. Die räumen Krypto-Wallets leer.

IT-Sicherheitsforscher haben eine groß angelegte Kampagne mit bösartigen Firefox-Add-ons entdeckt. Die räumen Krypto-Wallets leer.

Distinct threats are targeting popular browsers, underscoring the increasing security risks for businesses. A zero-day vulnerability in Chrome and attacks via the 'FoxyWallet' extension on Firefox are endangering users. These browsers remain essential tools for corporate users. Technical details include exploited vulnerabilities in Chrome and malicious extensions on Firefox. The described impacts primarily affect businesses, which use these browsers as gateways to the Web.

IT-Sicherheitsforscher haben eine groß angelegte Kampagne mit bösartigen Firefox-Add-ons entdeckt. Die räumen Krypto-Wallets leer.

IT-Sicherheitsforscher haben eine groß angelegte Kampagne mit bösartigen Firefox-Add-ons entdeckt. Die räumen Krypto-Wallets leer.

暗号資産ウォレットの認証情報を盗むことを目的に作られた、数十個の偽Firefox拡張機能を含む大規模な悪意あるキャンペーンが発覚しました。これらの拡張機能は、Coinbase、MetaMask、Trust Wallet、Phantom、Exodus、OKX、Keplr、MyMonero、Bitget、Leap、Ethereum Wallet、およびFilfoxといった広く利用されているプラットフォームの正規ウォレットツールになりすましています。インストールされると、悪意ある拡張機能はウォレットの秘密情報を密かに流出させ、ユーザー資産を即座に危険にさらします。これまでに、このキャンペーンに関連する40種類以上の拡張機能を特定できており、現在も継続中で活発に動いています――一部の拡張機能はいまだマーケットプレイスで入手可能です。関連付けは、共通するTTP（戦術・技術・手順）とインフラを丹念に突き止める綿密な取り組みによって行われました。 このキャンペーンは少なくとも2025年4月以降、活動していることを確認できます。新たな悪意ある拡張機能は、Firefox Add-onsストアに先週の時点でもアップロードされていました。アップロードが継続していることから、この作戦が依然として稼働中で、執拗かつ進化し続けていることが示唆されます。 拡張機能は標的となるWebサイトからウォレットの認証情報を直接抽出し、攻撃者が管理するリモートサーバーへ送信します。初期化時には、被害者の外部IPアドレスも送信しており、追跡や標的化を目的としている可能性があります。 信頼を築く手口 このキャンペーンは、評価、レビュー、ブランディング、機能性といったマーケットプレイスに共通する信頼メカニズムを悪用し、ユーザーの信頼を獲得してインストール率を高めています。 中核となる戦術の一つはレビューの水増しです。多くの悪意ある拡張機能には、実際のユーザーベースを大きく上回る数百件の偽の★5レビューが付いていました。この手口により、拡張機能が広く採用され高評価を得ているように見せかけ、Mozilla Add-onsストアのようなプラットフォームでユーザーの信頼を得る重要な要因となります。 Firefox Add-onsストアにおける拡張機能のレビュー 脅威アクターは正規のウォレットツールのブランディングを巧妙に模倣し、なりすました実在サービスと同一の名称とロゴを使用していました。この視覚的な類似性により、疑いを持たないユーザーが誤ってインストールしてしまう可能性が高まります。 いくつかのケースでは、公式拡張機能がオープンソースである点を悪用していました。実際のコードベースをクローンし、独自の悪意あるロジックを挿入することで、見た目どおりに動作しながら裏で機密データを盗む拡張機能を作成していました。この低労力・高インパクトな手法により、想定されるユーザー体験を維持しつつ、即時検知される可能性を下げることができました。 アトリビューション（帰属） 帰属は暫定的ではあるものの、複数のシグナルがロシア語話者の脅威アクターを示唆しています。具体的には以下が含まれます： 拡張機能コードに埋め込まれたロシア語のコメント。 作戦で使用されたC2（コマンド＆コントロール）サーバーから取得したPDFファイル内で見つかったメタデータ。 決定的ではないものの、これらの痕跡は、このキャンペーンがロシア語話者の脅威アクター集団に由来する可能性を示しています。 推奨事項 検証済みの発行元からのみ拡張機能をインストールし、高評価の掲載であっても注意してください。 ブラウザ拡張機能を完全なソフトウェア資産として扱う - 審査、監視、ポリシー適用の対象としてください。 拡張機能の許可リスト（allowlist）を使用し、事前承認・検証済みの拡張機能のみにインストールを制限してください。 継続的な監視を実装し、単発のスキャンで終わらせないでください。拡張機能は自動更新され、インストール後に挙動が密かに変わる可能性があります。 本稿はKoi Securityのリサーチチームが、健全な疑念と、より安全なオープンソース・エコシステムへの希望を込めて執筆しました。 長らく、信頼できないサードパーティコードの利用は、しばしば最高権限で実行されているにもかかわらず、企業側にも攻撃者側にも見過ごされてきました。その時代は終わりつつあります。潮目が変わっています。 私たちはこの局面に応えるためにKoiを構築しました。実務者にも企業にも向けて。私たちのプラットフォームは、Firefox、Chrome Web Store、VSCode、Hugging Face、Homebrew、GitHubなどのマーケットプレイス、そしてそれ以外からチームが取得するあらゆるものを発見・評価・統制するのに役立ちます。 Fortune 50企業、BFSI（銀行・金融サービス・保険）および世界最大級のテック企業の一部に信頼されているKoiは、この広大な攻撃対象領域にわたって可視性を獲得し、ガバナンスを確立し、リスクを先回りして低減するために必要なセキュリティプロセスを自動化します。 当社のソリューションに興味がある方、または行動を起こす準備ができている方は、デモを予約するか、こちらからご連絡ください 🤙 近いうちに、まだいくつか驚きの情報をお届けします。続報をお待ちください。 IOC Firefox拡張機能名： ドメイン： 翻訳元:

Separate threats to popular browsers highlight the growing security risk for enterprises presented by the original gateway to the Web, which remains an integral tool for corporate users.

The “FoxyWallet” malware campaign saw more than 40 malicious extensions impersonating legitimate crypto wallets on the Firefox Add-ons store.

Separate threats to popular browsers highlight the growing security risk for enterprises presented by the original gateway to the Web, which remains an integral tool for corporate users.

Separate threats to popular browsers highlight the growing security risk for enterprises presented by the original gateway to the Web, which remains an integral tool for corporate users.