Firefox w ogniu: 40 szkodliwych rozszerzeń ukradło dane portfeli kryptowalutowych

To naprawdę szokujące – i kolejny dowód na to, jak niebezpieczna może być cyfrowa rzeczywistość. Niedawno badacze z firmy Socket odkryli 40 szkodliwych rozszerzeń dla przeglądarki Firefox, które celowały w poufne dane portfeli użytkowników kryptowalut. Najbardziej podstępne było to, że dziewięć z tych dodatków ukrywało się pod pozorem nieszkodliwych narzędzi do śledzenia wyników sportowych, by po zwykłej aktualizacji metamorphizować się w zagrożenie. Kto by pomyślał, że nawet pozornie nieszkodliwa aplikacja pogodowa może stać się furtką dla cyberprzestępców?
---
Sposób działania: kamuflaż i techniczne sztuczki
Hakerzy posłużyli się klasyczną strategią: najpierw zyskiwali zaufanie, a potem uderzali. Publikowali pozornie użyteczne rozszerzenia – np. do śledzenia wyników sportowych czy prognoz pogody – zbierali pozytywne recenzje i tysiące pobrań. Ale prawdziwy przebiegły ruch czekał w kolejnych wersjach: w ukryciu dodawano złośliwy kod. Dzięki automatycznym aktualizacjom użytkownicy zarażali się, nawet o tym nie wiedząc. Prawdziwy koszmar dla każdego, kto przechowywał swoje seedy (frazy odzyskiwania) lub prywatne klucze portfela w przeglądarce.
Szczególnie sprytne było to, jak rozszerzenia starały się ukryć swoją obecność:
- Dynamiczna iniekcja kodu: szkodliwy kod aktywował się dopiero po pobraniu i ciągle zmieniał swoją sygnaturę.
- Sprawdzanie piaskownicy (sandbox): malware sprawdzało, czy działa w środowisku testowym, zanim rozpoczęło szkodliwe działanie.
- Ataki celowane: rozszerzenia przeszukiwały pamięć przeglądarki w poszukiwaniu typowych plików portfela (np. MetaMask, Phantom, Trust Wallet) i wysyłały je na zewnętrzne serwery.
---
Skutki: skradzione tajemnice pozostają zagrożeniem
Socket śledził tę kampanię przez wiele miesięcy i opublikował szczegółową analizę 10 czerwca 2024 roku. Badacze ostrzegają: nawet po odinstalowaniu rozszerzeń poufne dane portfela pozostają zagrożone. Wielu użytkowników przechowywało swoje seedy lub prywatne klucze bezpośrednio w rozszerzeniach – praktyka, którą eksperci ds. bezpieczeństwa od lat uznają za wyjątkowo ryzykowną.
Łącznie zidentyfikowano 40 różnych dodatków, które wszystkie działały według tej samej metody. Ich łąc



zna liczba pobrań przekroczyła 1,3 miliona – zatrważająca liczba, która pokazuje, jak mocno użytkownicy ufają pozornie nieszkodliwym narzędziom. Choć Mozilla szybko usunęła szkodliwe rozszerzenia z Firefoksa (np. "Sports Score Live", "Weather Forecast", "Crypto Tracker"), dla tych, którzy zainstalowali je wcześniej, zagrożenie nadal istnieje.
---
Co zrobić, jeśli padłeś ofiarą ataku?
Jeśli zainstalowałeś którekolwiek z zarażonych dodatków, działaj natychmiast:
1. Odinstaluj rozszerzenie – nawet jeśli złośliwe oprogramowanie już działało.
2. Uważaj swoje wallety za skompromitowane – usuwanie dodatku nie gwarantuje bezpieczeństwa.
3. Stwórz nowe portfele i przenieś swoje seedy/klucze do świeżo utworzonego, bezpiecznego portfela.
4. Monitoruj transakcje: sprawdzaj swoje adresy portfela pod kątem podejrzanych działań.
5. Włącz 2FA (uwierzytelnianie dwuskładnikowe), jeśli jeszcze tego nie zrobiłeś.
---
Dlaczego rozszerzenia przeglądarek są łakomym kąskiem dla hakerów?
Problem tkwi w projektowaniu wielu portfeli kryptowalutowych: użytkownicy często przechowują swoje dane dostępowe bezpośrednio w przeglądarce lub w rozszerzeniach – wygodne, ale niezwykle ryzykowne. Hakerzy doskonale o tym wiedzą i wykorzystują tę słabość. Najczęstsze pułapki to:
- Portfele przeglądarkowe (np. MetaMask w trybie przeglądarkowym).
- Rozszerzenia obiecujące integrację z portfelami (np. "Crypto Dashboard").
- Narzędzia do zarządzania seedami.
Eksperci kategorycznie odradzają przechowywania kluczy portfela w przeglądarce lub jej rozszerzeniach. Lepsze rozwiązania to:
- Portfele sprzętowe (Ledger, Trezor) do długoterminowego przechowywania.
- Oddzielne profile przeglądarki do aktywności związanych z krypto.
- Regularne kopie zapasowe, przechowywane offline.
---
Mozilla reaguje – ale odpowiedzialność spoczywa na użytkownikach
Mozilla usunęła szkodliwe dodatki ze swojego sklepu i współpracuje z Socketem, aby zapobiegać podobnym atakom w przyszłości. Ostatecznie jednak bezpieczeństwo zależy od samych użytkowników. Społeczność kryptowalutowa musi uświadomić sobie, że każde rozszerzenie może być furtką dla atakujących.
---
Podsumowanie: kolejny sygnał alarmowy
Ten atak to kolejny dowód na to, jak