La empresa de ciberseguridad, Socket, detectó 40 extensiones fraudulentas en Firefox que se hacen pasar por billeteras Web3 para robar claves privadas, credenciales y datos de criptomonedas.
Al menos 40 extensiones maliciosas de Mozilla Firefox fueron detectadas robando información de monederos de criptomonedas al hacerse pasar por herramientas Web3 como OKX, Rabby Wallet, TronLink y otras aplicaciones populares.
La campaña, denominada Offside Wallet Theft Factory, habría estado activa desde marzo de 2026. Hasta ahora, no se ha atribuido a ningún actor o grupo de amenazas conocido, de acuerdo con el investigador Kirill Boychenko, de la empresa de ciberseguridad Socket.
Entre las extensiones identificadas, siete utilizan proyectos de Supabase controlados por atacantes para distribuir contenido de phishing. Otras 15 capturan claves privadas y secretos de las billeteras, que extraen mediante Cloudflare Workers. Además, 13 versiones modificadas de Rabby Wallet obtienen llaveros serializados antes del cifrado local y las cinco restantes recopilan credenciales y datos del portapapeles.
¿Cómo operan los atacantes?
Los delincuentes emplean dos métodos para robar la información. El primero consiste en cargar de forma remota una página falsa de la cartera digital. El segundo integra directamente la funcionalidad maliciosa dentro de la extensión.
Los investigadores también descubrieron que algunas de estas extensiones maliciosas de Mozilla Firefox llegaron primero al mercado oficial como marcadores deportivos o herramientas de utilidad y posteriormente, sus operadores las transformaron en malware mediante actualizaciones.
Las extensiones maliciosas de Mozilla Firefox identificadas
– Temas seguros – Extensión para navegador (bliss-heaven@webbrol.com)
– Rabbit para escritorio (bright-save-feed@tabtools.org)
– ℞ab␢y Wa❘Iet (flex-clock-dash@extrakits.com)
– Rabb-Walӏet CryptoPortfolio (free-note-bolt@webtools.co)
– RABB-Walӏet Web3 y EVM (safe-stat-pure@proaddons.net)
– Rabbit/WALLET – EVM (sharp-stat-gear@netplugs.net)
Más extensiones ocultaban funciones engañosas
Los investigadores detectaron otras 37 extensiones relacionadas con puntuaciones deportivas que también presentaban implementaciones engañosas. Prometían funciones como generación de contraseñas, modo oscuro, acceso VPN o conversión de divisas.
Estas aplicaciones pasaban desapercibidas porque compartían una credencial codificada real de resultados deportivos, un servicio que proporcionaba datos en vivo y ayudaba a dar apariencia de legitimidad.
¿Por qué esta campaña resulta tan rentable?
Una sola instalación basta para que los atacantes obtengan información crítica, como la frase de recuperación, la clave privada o datos de una billetera de criptomonedas. Ese botín suele tener un valor mucho mayor que el costo de crear y publicar nuevas extensiones fraudulentas.
Para evitar ser detectados, los ciberdelincuentes cambian constantemente el nombre y el identificador de las extensiones. También reutilizan la identidad de complementos legítimos, copian parte de su código y distribuyen las funciones maliciosas entre la extensión, servidores remotos e infraestructura en la nube.
Gracias a estas tácticas, pueden lanzar nuevas versiones con rapidez y dificultar que las plataformas las identifiquen y eliminen de forma definitiva.
