Mozilla stáhla z katalogu Firefoxu šestnáct falešných kryptopeněženek

Kdo si ve Firefoxu instaluje peněženku na kryptoměny, musí jí při prvním spuštění nadiktovat obnovovací frázi. Dvanáct nebo čtyřiadvacet slov, ze kterých se dá peněženka obnovit na jakémkoli jiném zařízení. Kdo tu frázi zná, má peníze.

Přesně na tenhle okamžik mířilo šestnáct doplňků, které v katalogu Firefoxu našel výzkumný tým firmy Socket a popsal je 7. října. Tvářily se jako peněženky Rabby a OKX, přijatou frázi poslaly na server útočníků a uživateli nechaly běžet zbytek aplikace, jako by se nic nestalo.

Čtyři klony Rabby, dvanáct klonů OKX

Čtyři z doplňků jsou podle rozboru přebalené aplikace peněženky Rabby, každá o 1 114 souborech, včetně obrazovek pro import peněženky a správu klíčů. Útočníci do nich dopsali vlastní funkce a změnili značku na Raabby WaIIet, tedy na podobu, která se na obrazovce od originálu skoro neliší. Odkazy na oficiální stránky Rabby a na její aplikace v obchodech Applu a Googlu zůstaly uvnitř beze změny.

Zbylých dvanáct je menších a napodobuje rozhraní peněženky OKX pod názvem Portal WALLET. Uživatele vedou jediným směrem: vlož dvanáct nebo čtyřiadvacet slov. Rabby má v katalogu Chromu 900 000 uživatelů, OKX přes milion, takže obě jména lidem něco říkají.

Fráze odešla rovnou v adrese požadavku

Klony Rabby odchytávají frázi i soukromý klíč o 64 znacích přímo v místech, kde je přebírá vlastní kód peněženky. Zachycenou hodnotu pak pošlou na službu Cloudflare Workers obyčejným požadavkem GET, kde tajemství stojí v adrese jako parametr w. Socket u toho upozorňuje, že takhle zapsaná fráze skončí i v provozních záznamech serverů, které si adresy požadavků zapisují.

Klony OKX posílají frázi tělem požadavku POST. Jedna z variant to zkouší třemi cestami za sebou, a kdyby neprošla ani jedna, načte obrázek s frází v adrese. V komentářích téže varianty přitom stojí, že zařízení opouští jen otisk a počet slov. Rozbor ukazuje, že odchází celá fráze.

Patnáct z šestnácti doplňků mluví s doménou icy-star-f45c.workers.dev a nese tentýž znak kampaně EQOx7EIPZSNi. Podle toho Socket s vysokou jistotou řadí celou skupinu k případu, který popsal už v srpnu: tehdy šlo o 77 propojených identit doplňků, ze kterých 40 potvrdil jako škodlivé, a podpisové záznamy Mozilly u 59 rozebraných verzí vedly k datům od 9. března do 3. srpna.

Jeden kus nefungoval, a přesto je škodlivý

Doplněk sipoo-grozza@browserweb.com ve verzi 2.1 svou úlohu nesplní. Manifest mu nenačte skript na pozadí a rozhraní posílá jinou zprávu, než jakou ten skript umí přijmout. Kód na sběr i odeslání fráze v balíčku je, jen se k němu běžnou instalací nelze dostat. Je to vada balení, ne jiný úmysl, píše Socket.

Společné mají všechny doplňky ještě jednu věc: v manifestu deklarují, že nesbírají žádná data. Firefox tenhle údaj od autorů vyžaduje a ukazuje ho v katalogu. Tady si protiřečí s kódem o pár souborů vedle.

Stáhla je Mozilla, ne autoři

Podle rozboru byly všechny doplňky z katalogu staženy 5. října. Veřejné rozhraní katalogu to potvrzuje i dnes: na dotaz po doplňku addons.mozilla.org/api/v5/addons/addon/view-focus-bright@webtools.co/ vrací server odpověď s poli is_disabled_by_developer: false a is_disabled_by_mozilla: true. Totéž sedí u dalších dvou kontrolovaných identifikátorů. Stažení tedy nevyšlo od autora, ale od Mozilly.

Kolik lidí si doplňky stihlo nainstalovat a o kolik peněz přišli, zveřejněný rozbor neuvádí. Není to první případ, kdy se doplněk prohlížeče choval jinak, než sliboval; v září posílal data na cizí server doplněk pro Twitch, tam ale šlo o přihlašovací tokeny diváků.

Co dělat, když jste některý z nich měli

Odinstalování samo o sobě nestačí. Obnovovací fráze je platná bez ohledu na to, kde je zadaná, takže kdo ji do falešné peněženky vložil, musí z čistého zařízení založit peněženku novou, převést na ni majetek a odvolat schválení udělená té staré. Změna hesla k doplňku s tím nic neudělá, protože fráze na heslo není nijak navázaná.

Projít je rozumné i další počítače a telefony, kde je zapnutá synchronizace profilu Firefoxu, protože doplňky se jí přenášejí dál. Úplný seznam šestnácti identifikátorů i adres serverů je na konci rozboru Socketu.

Zdroje

• Socket: 16 Malicious Firefox Extensions Steal Cryptocurrency Wallet Credentials, 7. 10. 2026
• Socket: 77 Firefox Extensions Linked to Crypto Wallet and Credential Theft, 19. 8. 2026
• CyberInsider: 16 malicious Firefox extensions caught stealing crypto wallet secrets, 8. 10. 2026
• Root.cz: Postřehy z bezpečnosti, 12. 10. 2026
• Rozhraní katalogu doplňků Mozilly, stav doplňku: addons.mozilla.org/api/v5/addons/addon/view-focus-bright@webtools.co/