Socket 曝光 77 个 Firefox 恶意钱包扩展，40 个确认窃取助记词

安全公司 Socket 发布研究，将 77 个 Firefox 扩展与其称为“越位钱包盗窃工厂”的恶意活动关联，其中 40 个被确认含有窃取助记词或私钥的恶意行为。相关扩展冒充 OKX、Rabby Wallet、TronLink 等 Web3 产品，通过伪造钱包界面引导用户导入钱包，或使用被修改的真实钱包代码在用户输入时窃取助记词和私钥。Mozilla 签名记录显示该活动在 3 月 9 日至 8 月 3 日间活跃，Socket 报告时仍有多个扩展在线。

约半数扩展展示假钱包界面要求导入现有钱包以截获助记词；13 个为 Rabby 修改版，会在正常运作同时将钱包账户数据发送至外部服务器；5 个专门收集已保存凭证和剪贴板内容。另有 37 个伪装为密码生成器、暗黑模式、VPN、货币转换器和笔记工具，实则运行共用硬编码凭证的体育比分应用；9 个最初以比分应用发布，后更新为窃取代码。Socket 警告尚未确认是否由同一操作者控制，并建议任何在这些扩展中输入过助记词或私钥的用户视为“永久泄露”，立即将资金转移至新钱包。

[ChainCatcher]