40款火狐扩展暗藏黑手：伪装Web3钱包洗劫加密资产

Mozilla Firefox 扩展生态今日曝出大规模供应链钓鱼欺诈事件。安全研究团队 Socket 最新发布的专项调查报告披露，黑客团伙在官方扩展商店中批量上架了至少 40 款高危恶意扩展，累计覆盖 77 个相互关联的代码仓库与发布分支。

这些恶意插件均采用了高精度的仿冒手段，专门伪装成 OKX、Rabby Wallet、TronLink 等主流 Web3 加密钱包及辅助工具，诱导用户在安装后输入助记词与私钥，随后在后台静默完成资金洗劫。

🔍 工业化制毒：Offside 团伙的流水线作战

安全专家将此次行动命名为“Offside 钱包盗窃工场”（Offside Wallet Theft Factory）。调查显示该团伙自 2026 年初开始活跃，具备极高的工程化运作特征：

1. 代码同源与批量分发： 40 款恶意插件底层共享一套核心窃密模板，同时配合 37 个伪装成“体育赛事比分查看”的外壳插件（Shell Add-ons），作为储备后门与发布矩阵。

2. 云端“暗门”遥控开关： 攻击者利用合法的 Supabase 云数据库项目作为远程 C2 开关。在通过官方商店审核时保持静默状态，审核通过后再远程激活钱包输入劫持与私钥抓取逻辑。

3. 实时内存与 DOM 窃取： 一旦用户在浏览器前端输入助记词（Seed Phrase）或钱包密码，扩展立即通过注入的 Content Script 拦截表单，并加密回传至黑客的接收服务器。

“这不仅是普通的仿冒钓鱼，而是一套高度流水线化、利用合法云基础设施规避商店审核的恶意扩展供应链。”

⚠️ 浏览器扩展安全为何频频沦陷？

浏览器插件在安装后通常拥有极高的上下文权限（如 tabs、webRequest、storage 以及全部站点的 DOM 读写权限）。对于加密钱包用户而言，浏览器正是资金交互的第一入口，插件一旦被调包或投毒，任何多重认证（MFA）都形同虚设。

🛡️ 紧急排查与安全防护建议

✅ 立刻核查已安装扩展： 打开 about:addons 检查所有 Web3 及非官方扩展，发现非官方认证的 OKX、Rabby 或 TronLink 插件请立即停用并卸载；

✅ 紧急资产迁移与私钥轮换： 若曾在受影响的浏览器环境中输入过助记词，应立即在干净设备上将加密资产转移至全新地址；

✅ 认准官方唯一下载渠道： 坚决不通过搜索引擎广告或第三方跳转链接安装扩展，务必从钱包官方网站的主页入口跳转；

✅ 优先采用硬件冷钱包： 对大额加密资产采用 Ledger、Trezor 等离线硬件冷钱包进行物理隔离签名，避免私钥直接暴露在浏览器内存中。