Firefoxの悪質拡張機能16件が暗号資産ウォレットを偽装、秘密鍵窃取の手口と相次ぐ不正アドオンの実態

要点

• セキュリティ企業Socketの調査により、Firefox向けの悪質な拡張機能16件が「Rabby Wallet」や「OKX Wallet」を偽装し、秘密鍵や復元フレーズを窃取していたことが判明した。

• これらの拡張機能は実用ツールを装い、ウォレットのインポート画面で入力された重要情報を傍受して、攻撃者のCloudflare Workersドメインへ送信する仕組みを備えていた。

• 2026年8月に確認された攻撃キャンペーンの継続とみられ、偽装画面や攻撃基盤を再利用しながら識別情報のみを変更して検知を逃れていた。

• 対象のアドオンは2026年10月5日までにすべて削除されたが、情報を入力したユーザーには安全な環境で新ウォレットを作成し資産を退避させることが推奨されている。

• セキュリティ企業Socketの研究者であるジョセフ・エドワーズ（Joseph Edwards）氏は、暗号資産（仮想通貨）ウォレットのリカバリーフレーズや秘密鍵を盗み出す悪意あるMozilla Firefox拡張機能16件を確認したとする分析を公開した。これらはユーティリティなどを装って配布され、利用者がウォレットを取り込む際に入力した認証情報を攻撃者のサーバーへ不正送信していたという。問題の拡張機能は2026年10月5日時点ですべて削除されている。

ウォレットやツールを装い認証情報を傍受する手口

エドワーズ氏の報告によると、特定された16件の拡張機能は、ウォレットポータルやデスクトップユーティリティ、ブラウザ向けツールといった無害なソフトウェアを装っていた。しかしその実態は、ウォレットのインポート処理（既存アカウントの復元手続き）の過程を監視するコードを含む不正なアドオンであった。利用者が入力したリカバリーフレーズ（ウォレット復元用の単語列）や秘密鍵（取引の承認に必要な暗号鍵）を傍受し、外部へ送信する機能を備えていたという。

16件の内訳は、4件が暗号資産ウォレット「Rabby Wallet」のクローンで、残り12件は「OKX Wallet」を標的としたクローンだった。特定された拡張機能のうち1件を除く15件が、共通して「*.icy-star-f45c.workers[.]dev」というドメインへの通信を試みていた。攻撃者の狙いは、収集した重要情報をサーバーレス基盤であるCloudflare Workers（エッジサーバー上でプログラムを実行するクラウドサービス）上の管理サーバーへ送信することにあったとされている。

識別情報の変更で検知を逃れつつ攻撃基盤を再利用

Socketはこの活動について、同社が2026年8月に公表した40件の悪質なFirefox拡張機能による攻撃の継続であると評価している。

調査によると、攻撃者はパッケージ名やバージョン番号、拡張機能ID、説明文、外観などを頻繁に変更・ローテーションさせていた。その一方で、ウォレットの偽装画面や認証情報の処理ロジック、通信先となるネットワークインフラは過去の攻撃と同一のものを再利用していたという。表層の識別情報を更新して検知をかいくぐりつつ、既存の攻撃基盤を効率的に使い回す手口が確認された。

対象アドオンの削除と被害者への推奨対応

今回特定された16件の拡張機能は、2026年10月5日までにすべてプラットフォーム上から削除された。

しかしSocketは、これらの拡張機能を導入し、偽の画面に実際のリカバリーフレーズや秘密鍵を入力してしまったユーザーに対し注意を促している。該当する利用者は情報が侵害されたものと想定し、不正プログラムの影響がない安全な環境から新しいウォレットを作成した上で、保有する資産を速やかに移管する必要があると説明している。

主要ブラウザで相次ぐ不正拡張機能の報告

元記事では、今回の事例に加え、直近数カ月間でFirefox、Google Chrome、Microsoft Edge向けに確認された不正・不審な拡張機能の動向についても触れられている。

• Firefox向け「ID- Pay」: PDF閲覧用ツールを装いながら不正プログラムを取得し、正規の「accounts.google[.]com」にスクリプトを注入してセッションCookie（Webサイトのログイン状態を保持するデータ）を窃取。
• 32件の生産性拡張機能群（Akamai報告）: ChromeやEdgeで業務効率化ツールを装い、データ収集やタブの差し替えを実行。2025年3月から活動する韓国語話者の攻撃者によるものとされる。
• 約30件の暗号資産詐欺拡張機能群（Akamai報告）: 著名投資家の名前を冠し、英語圏ユーザーや分析環境を回避しつつ、リカバリーフレーズ窃取ページへ誘導。
• ロシア語の拡張機能31件（RiskyPlugins報告）: 規制された各種サービス向けのVPNと称し、GitHub Pagesなどのリスト経由で通信をプロキシ（通信を中継するサーバー）へ転送。
• 「Stylish」（Chrome向け）: ChatGPTやClaudeなど主要AIとの会話を傍受し、応答全文を運営者へ送信。
• 「Urban VPN」（Chrome向け）: 危険サイト警告機能を謳いながら警告を出さず、訪問先URLを外部サーバーへ送信（開発元は特定機能の有効時のみと説明）。