Socket phơi bày 77 tiện ích mở rộng ví độc hại trên Firefox, 40 cái đã xác nhận đánh cắp cụm từ khôi phục
ChainCatcher thông báo, theo Decrypt, công ty an ninh Socket đã công bố kết quả nghiên cứu, liên kết 77 tiện ích mở rộng Firefox với hoạt động độc hại mà họ gọi là "nhà máy đánh cắp ví ngoài vị trí", trong đó 40 cái đã được xác nhận có hành vi độc hại.Các tiện ích mở rộng này giả mạo các sản phẩm Web3 như OKX, Rabby Wallet, TronLink, bằng cách giả mạo giao diện ví để dụ dỗ người dùng nhập ví, hoặc sử dụng mã ví thật đã được chỉnh sửa, đánh cắp cụm từ khôi phục và khóa riêng khi người dùng nhập. Hồ sơ ký của Mozilla cho thấy hoạt động này kéo dài từ ngày 9 tháng 3 đến ngày 3 tháng 8, và vẫn còn nhiều tiện ích mở rộng trực tuyến khi Socket báo cáo.Khoảng một nửa trong số các tiện ích mở rộng này hiển thị giao diện ví chân thực và yêu cầu người dùng nhập ví hiện có, từ đó chặn các cụm từ khôi phục hoặc khóa riêng đã nhập; 13 cái khác là phiên bản chỉnh sửa của Rabby, trong khi vẫn hoạt động bình thường đã gửi dữ liệu tài khoản được lưu trữ trong ví đến máy chủ bên ngoài; còn 5 cái chuyên thu thập các chứng chỉ đã lưu và nội dung clipboard.Ngoài ra, 37 tiện ích mở rộng giả mạo là trình tạo mật khẩu, chuyển đổi chế độ tối, VPN, bộ chuyển đổi tiền tệ và công cụ ghi chú, thực tế chạy ứng dụng điểm số thể thao chia sẻ cùng một chứng chỉ mã hóa cứng. 9 tiện ích mở rộng độc hại đã được xác nhận ban đầu được phát hành dưới dạng ứng dụng điểm số bóng đá, bóng rổ, và các bản cập nhật sau đó đã thay thế bằng mã đánh cắp ví.Socket đã đặt tên cho hoạt động này là "nhà máy đánh cắp ví ngoài vị trí", nhưng cảnh báo rằng chưa xác nhận tất cả các tiện ích mở rộng đều được điều khiển bởi cùng một người điều hành. Nhóm Socket cho biết, bất kỳ ai đã nhập cụm từ khôi phục hoặc khóa riêng vào những tiện ích mở rộng này đều nên được coi là "rò rỉ vĩnh viễn", và ngay lập tức chuyển tiền sang ví mới, vì việc gỡ bỏ tiện ích mở rộng không thể khôi phục các cụm từ khôi phục đã gửi đến nơi khác.
