Les chercheurs ont découvert une campagne coordonnée de plus de 40 extensions malveillantes de Firefox. Ces modules complémentaires imitent les outils de portefeuille crypto de confiance pour voler des clés privées et des phrases de graines. Les utilisateurs sont à risque. Les extensions restent en direct dans le magasin officiel de Mozilla. Cette menace a commencé en avril 2025 et se poursuit aujourd’hui.
La campagne Foxywallet
I. Qu’est-ce que Foxywallet?
La campagne est nommée «Foxywallet». Les attaquants ont créé des dizaines de fausses extensions se faisant passer pour des portefeuilles populaires. Les cibles incluent Metamask, le portefeuille Coinbase, le portefeuille de confiance, le fantôme, l’Exode, l’OKX, le keplr, le mymonero, le bitget, le leap, le portefeuille Ethereum et le filfox.
Ces clones utilisent la véritable image de marque – des noms, des logos et même un code d’origine ouverte légitime – tout en cachant une logique malveillante. Le résultat: les extensions se comportent normalement, mais aussi voler des données sensibles en arrière-plan.
Ii Comment ils trompent les utilisateurs
- Nom et imitation du logo
Clone Tools de portefeuille officiel. Mêmes noms. Mêmes icônes. Les utilisateurs leur font confiance par conception. - Fausses notes et avis
De nombreuses extensions montrent des centaines de critiques de 5 étoiles, plus que leurs installations réelles. Cela crée une fausse légitimité. - Code de source ouverte cloné
Le code est tiré des portefeuilles officiels. Les attaquants ajoutent une logique de standage de données. Les clones fonctionnent mais exfiltrent également les données.
Détails techniques de l’attaque
I. Exfiltration et suivi des données
- Sur l’installation, l’extension départs regardent les informations d’identification entrées sur des sites de portefeuille.
- Il capture des phrases de semences, des clés privées, des adresses.
- Il les envoie silencieusement aux serveurs contrôlés par l’attaquant. Les adresses IP externes sont également incluses.
Ii Campagne en cours
- Actif depuis au moins avril 2025.
- De nouvelles extensions sont apparues aussi récemment que la semaine dernière.
- Mozilla a enlevé le plus, mais quelques-uns s’attardent encore sur le magasin.
Qui est derrière le programme?
Jusqu’à présent, les indices pointent sur un acteur russe:
Lire plus
- Commentaires de la langue russe dans le code.
- Métadonnées dans un PDF sur un serveur de contrôle.
Ce n’est pas concluant, mais à noter.
Échelle de l’attaque
- Dark Reading a rapporté environ 45 extensions à un moment donné.
- Geekflare a confirmé que plus de 40 fourches uniques restent dans le magasin.
- La campagne utilise les fonctionnalités de la fiducie des magasins de Mozilla – nom, avis, image de marque, ouverte – les utilisateurs.
Contexte plus large et tendance des menaces
I. Extensions du navigateur comme vecteurs d’attaque
L’équipe de menaces de Socket a récemment découvert que les extensions dans les magasins normaux sont largement utilisées:
- Rediriger les utilisateurs vers des escroqueries.
- Sessions de navigation de détournement.
- Injecter le code de suivi.
- Volez des jetons Oauth.
Ii Campagnes similaires
Plus tôt en 2025:
- “Shell Shockers IO” et les clones de l’acteur MRE1903 ont infecté Firefox et Chrome avec des fenêtres popup de style jeu, le suivi des affiliés et le vol de jeton OAuth.
- Au moins huit extensions de Firefox malveillantes ont utilisé des tactiques identiques pour détourner les sessions, espionner via des iframes cachés et voler des jetons.
Cela montre que les attaquants utilisent plusieurs tactiques et continuent à évoluer.
Iii. Résultats de portefeuille de portefeuille
Une étude récente (avril 2025) a testé 39 extensions de portefeuille populaires. Il a trouvé 13 vecteurs d’attaque et 21 stratégies. Tous les portefeuilles pourraient être maltraités pour voler des actifs.
Le risque pour les individus
- Une fois que les phrases de graines ont fui, les attaquants peuvent égoutter instantanément les portefeuilles.
- Les utilisateurs peuvent faire confiance aux extensions du magasin officiel.
- Les victimes ne remarqueront souvent pas tant que les actifs n’auront pas disparu.
- Les pirates peuvent suivre les victimes par IP et cibler les portefeuilles de grande valeur.
Risque pour les organisations
- Les extensions peuvent accéder aux outils internes si les navigateurs sont utilisés au travail.
- Une extension rogue peut exfiltrer les informations d’identification, les jetons, les informations de session.
- Les attaquants peuvent utiliser des jetons OAuth ou de session pour augmenter davantage leurs accès.
- Les extensions incontrôlées sont une menace pour l’intégrité de la sécurité des entreprises.
Fournisseur de navigateur et réponse de sécurité
I. Les actions de Mozilla
- La plupart des extensions de Foxeywallet ont été supprimées.
- Le clone de portefeuille MyMonero reste en cours d’examen.
- Mozilla dit qu’il utilise un «système de détection précoce» pour bloquer les extensions de cryptographie de l’escroquerie.
Ii Conseils de l’industrie
De la sécurité de Koi et de la lecture sombre:
- Traitez les extensions comme n’importe quel logiciel – les veillez avant l’installation.
- Utilisez des listes d’autorisation au travail, pas des listes de blocs.
- Surveillez les extensions et les modifications installées au fil du temps.
Le soutien de Mozilla suggère:
- Examiner attentivement les autorisations.
- Vérifiez l’identité du développeur.
- Regardez les avis des utilisateurs et le nombre d’installations.
Recommandations pratiques
- Installations d’extension limitées
Ajoutez uniquement des outils dont vous avez besoin et à partir de sources de confiance. - Vérifier les éditeurs
Consultez le nom du développeur, le site Web, les informations de contact. - Inspecter les autorisations
Évitez les extensions nécessitant un large accès à toutes les pages Web. - Vérifiez les avis manuellement
Recherchez des signes de critiques fausses ou répétitives. - Surveiller le comportement après l’installation
Surveillez les popups soudains, les redirections ou les cadres cachés. - Utiliser des portefeuilles matériels
Gardez les phrases de semences hors ligne et loin des processus de navigateur. - Commandes d’entreprise
Implémentez les listes d’autorisation, la surveillance continue et les limites d’accès. - Restez à jour
Retirez régulièrement les add-ons inutilisés ou indésirables.
Le poste Store Firefox Ad-ons frappé par une vague massive de fausses extensions de portefeuille est apparu en premier sur Les pièces de monnaie.
Résumé: La campagne Foxywallet représente une menace significative pour les utilisateurs de crypto, en particulier à travers des extensions malveillantes sur Firefox. Malgré les efforts de Mozilla pour éliminer ces menaces, de nombreuses extensions continuent d’exister et d’exfiltrer des données sensibles des utilisateurs. Restant vigilant et en suivant les recommandations de sécurité, les utilisateurs peuvent réduire leur risque d’être victimes de ces attaques.
![Top 5 des casinos Bitcoin fiables en 2025 [Sans inscription, sans KYC]](https://i3.wp.com/images.cryptodaily.co.uk/space/clipboard-image-1751746701.png?ssl=1 "Top 5 des casinos Bitcoin fiables en 2025 [Sans inscription, sans KYC]")
