Die Sicherheitsfirma Socket hat eine koordinierte Kampagne aufgedeckt, bei der 40 bösartige Erweiterungen für den Browser Firefox gezielt auf Nutzer von Kryptowährungen angesetzt wurden. Wie das Unternehmen am 25. August 2026 mitteilte, imitierten die Add-ons legitime Krypto-Wallets und Web3-Applikationen mit dem Ziel, sensible Anmeldedaten sowie private Schlüssel zu entwenden und digitale Vermögenswerte abzuziehen.
Strategie der „Offside Wallet Theft Factory“
Den Untersuchungen von Socket zufolge sind die entdeckten Erweiterungen Teil einer größeren Operation, die unter der Bezeichnung „Offside Wallet Theft Factory“ geführt wird.
Die Analyse ergab, dass die Kampagne über einen Zeitraum von mehreren Monaten aktiv war, konkret zwischen dem 9. März und dem 3. August. In diesem Fenster wurden insgesamt 77 Identitäten im Zusammenhang mit der Operation identifiziert. Davon ließen sich 40 als eindeutig bösartig bestätigen, während weitere 37 als täuschend eingestuft wurden.
Die Sicherheitsforscher betonten, dass es sich nicht um isolierte Einzelfälle handele, sondern um ein koordiniertes Vorgehen. Die Angreifer gingen dabei besonders perfide vor: Neun der 40 bösartigen Erweiterungen starteten ursprünglich als harmlose Werkzeuge zur Anzeige von Sportergebnissen.
Erst zu einem späteren Zeitpunkt wurden diese vermeintlich nützlichen Programme durch schadhaften Code ersetzt, der als „Wallet-Stealer“ fungierte. Durch diesen verzögerten Austausch konnten die Akteure zunächst Vertrauen aufbauen oder Sicherheitsprüfungen umgehen, bevor die eigentliche Schadfunktion aktiviert wurde.
Wer sich mit dem Schutz digitaler Identitäten befasst, sollte über herkömmliche Passwörter hinausdenken. Dieser kostenlose Report zeigt, wie Sie mit Passkeys eine neue Sicherheitsebene schaffen, die Hackern bei Diensten wie Amazon oder WhatsApp keine Chance mehr lässt. Warum immer mehr Deutsche ihre Passwörter komplett abschaffen – jetzt gratis nachlesen
Technische Details und unterschiedliche Angriffspfade
Die Analyse der 40 schadhaften Add-ons offenbarte verschiedene technische Ansätze, um an die Daten der Opfer zu gelangen. Socket kategorisierte die Bedrohungen in vier spezifische Angriffspfade:
- Phishing-Loader: Sieben Erweiterungen fungierten als Einstiegspunkte für Phishing-Angriffe.
- Erfassung von Geheimnissen: 15 der Add-ons waren darauf programmiert, gezielt private Schlüssel oder Wiederherstellungsphrasen (Seed Phrases) zu extrahieren.
- Rabby-Klone: In 13 Fällen handelte es sich um manipulierte Kopien der bekannten Rabby-Wallet, die Nutzer durch ein vertrautes Design täuschen sollten.
- Sammler von Anmeldedaten: Fünf weitere Erweiterungen konzentrierten sich auf das Abgreifen klassischer Login-Informationen für Web3-Dienste.
Die Vielfalt dieser Methoden unterstreicht die gezielte Ausrichtung auf unterschiedliche Nutzertypen innerhalb des Krypto-Ökosystems. Während einige Programme direkt auf den Zugriff zur Wallet abzielten, versuchten andere, über gefälschte Benutzeroberflächen an die notwendigen Informationen für spätere Transaktionen zu gelangen.
Die wachsende Zahl gehackter Konten verdeutlicht die Risiken herkömmlicher Anmeldemethoden im Netz. Mit der innovativen Passkey-Technologie schützen Sie Ihre Online-Zugänge per Fingerabdruck oder Gesichtserkennung und machen Phishing-Angriffen ein Ende. Sicher, bequem und passwortlos – kostenlosen PDF-Ratgeber herunterladen
Sicherheitsempfehlungen für betroffene Nutzer
Angesichts der Schwere der Vorfälle raten Experten zu sofortigen Sicherheitsmaßnahmen. Nutzer, die möglicherweise mit einer der bösartigen Erweiterungen in Kontakt gekommen sind oder diese installiert hatten, sollten ihre Wallets grundsätzlich als kompromittiert betrachten. Es wird dringend empfohlen, sämtliche digitalen Vermögenswerte umgehend in neue, sichere Wallets zu transferieren.
Ein bloßes Löschen der Erweiterung reicht in vielen Fällen nicht aus, da die Geheimnisse bereits an die Server der Angreifer übermittelt worden sein könnten.
Zudem erging die Aufforderung an alle Firefox-Nutzer, ihre installierten Add-ons kritisch zu prüfen. Besondere Vorsicht sei bei der Vergabe von Berechtigungen geboten. Da die Kampagne zeigte, dass auch ursprünglich harmlose Anwendungen nachträglich manipuliert werden können, sollten Erweiterungen nur von verifizierten Entwicklern bezogen und regelmäßig auf ihre Notwendigkeit hin kontrolliert werden.
