Onderzoekers hebben tientallen malafide Firefox-extensies gevonden die op addons.mozilla.org werden aangeboden en private keys, seed phrases en andere secrets van cryptowallets probeerden te stelen, alsmede de inhoud van het clipboard en wachtwoorden van gebruikers. De malafide extensies waren vanaf maart tot begin deze maand in de extensie-store van Firefox te vinden.

Voor het verspreiden van de malafide extensies hadden de aanvallers twee methodes bedacht. Bij de eerste methode kregen de malafide extensies namen die op de namen van legitieme extensies en cryptowallets leken, waarmee gebruikers hun cryptovaluta kunnen beheren. Voor de twee methode werden sportgerelateerde en op het eerste gezicht onschuldige extensies hergebruikt voor het stelen van crypto. Deze extensies kregen dan een andere naam en werden van malafide code voorzien.

De zogenaamde crypto-extensies vragen gebruikers tijdens het eerste gebruik om hun seed phrases en private keys waarmee er toegang tot de cryptowallet kan worden verkregen. De verkregen informatie wordt vervolgens naar de aanvallers teruggestuurd. Een aantal andere extensies stelen ingevoerde wachtwoorden en informatie uit het clipboard. Daarbij wordt onder andere gebruikgemaakt van phishingpagina's die de extensies tonen. Volgens onderzoekers van cybersecuritybedrijf Socket gaat het in totaal om 77 Firefox-extensies die inmiddels door Mozilla zijn verwijderd.