Firefox向け拡張機能40件で暗号資産ウォレットの窃取が判明、スポーツ情報ツールから改変する手口も

要点

• Mozilla Firefoxのアドオンストアで、正規のWeb3製品を装って暗号資産ウォレットの秘密情報を盗み取る拡張機能が40件確認された。

• セキュリティ調査チームのSocketが報告したもので、一連の攻撃活動は「Offside Wallet Theft Factory」と命名されている。

• 関連する77件のアドオンのうち、一部はスポーツスコア表示ツールとして審査を通過した後にウォレット窃取機能へ改変されていた。

• 偽の入力画面やクラウドサービスを悪用し、秘密鍵や復元フレーズなどを外部へ流出させていた。

• セキュリティ企業の調査部門であるSocket Threat Researchチームは2026年8月20日、ウェブブラウザ「Mozilla Firefox」向けの拡張機能（アドオン）40件において、暗号資産（仮想通貨）ウォレットの情報を盗み取る不正な動作が確認されたと発表した。これらの拡張機能は「OKX」や「Rabby Wallet」「TronLink」といった著名なWeb3サービスになりすまして配布されていたという。調査によると、共通のソースコードやインフラを使用する合計77件の拡張機能群による大規模なキャンペーンの一環であることが判明している。

40件の拡張機能によるウォレット情報窃取の概要

この一連の攻撃活動は「Offside Wallet Theft Factory（オフサイド・ウォレット・セフト・ファクトリー）」と名付けられており、2026年3月から活動を続けていたとみられている。なお、現時点で特定の脅威アクター（攻撃者グループ）への関連付けはなされていない。

Socketのセキュリティ研究者であるキリル・ボイチェンコ（Kirill Boychenko）氏によると、調査された77件の拡張機能のうち、個別の解析によって40件が悪質なものと確認された。これらの拡張機能は、暗号資産ウォレットのリカバリーフレーズ（ウォレット復旧用のパスフレーズ）や秘密鍵（取引の承認に必要な暗号情報）などを標的としていた。

窃取の手法としては、遠隔から偽のウォレット画面を読み込ませる方法と、拡張機能自体の内部に不正機能を直接組み込む方法の2種類が使われていた。確認された40件の内訳と手口は以下の通りである。

• Supabaseの遠隔切り替え（7件）: クラウド開発プラットフォーム「Supabase」のプロジェクトをリモートスイッチとして使い、フィッシング詐欺用コンテンツやおとりの画面を動的に配信していた。
• Cloudflare Workers経由の流出（15件）: ユーザーが入力したリカバリーフレーズや秘密鍵を収集し、サーバーレス実行基盤「Cloudflare Workers」を経由して外部に送信していた。
• 暗号化前の鍵束データの持ち出し（13件）: 正規の「Rabby Wallet」を改変したビルドを使用し、端末内でローカル暗号化が行われる前に、シリアライズ（データ変換）されたキーリング（鍵束）を盗み出していた。
• C2サーバーによる認証情報収集（5件）: プログラム内にハードコード（直書き）されたC2サーバー（指令サーバー）のインフラを使い、認証情報やクリップボードにコピーされた文字列を取得していた。

スポーツスコア表示からマルウェアへ改変する手口

調査対象となった77件のうち、残りの37件はサッカーやバスケットボール、北米プロバスケットボール（NBA）、ホッケーの試合結果を表示する「スポーツスコア表示ツール」として機能していた。

これら37件のビルドからは、認証情報やウォレットを直接窃取するペイロード（不正プログラムの実体）自体は確認されていない。しかし、欺瞞的な機能構成や、悪意ある拡張機能と共通する公開用アーティファクト、バージョン履歴などから、一連の悪意ある作戦の一部であると判断されている。これらには、リアルタイムのスポーツデータを提供する正規サービス「API-Sports」の認証情報が共通してハードコードされていた一方で、パスワード生成やダークモード、VPN接続、通貨換算、スクリーンショット撮影、メモ作成といった無関係な機能を謳って登録されていた。

さらに、悪質と確認された40件のIDのうち9件の過去バージョンを調べたところ、以前はサッカーやバスケ、NBA、アメリカンフットボールのスポーツスコア表示ツールとして公開されていたことが判明した。つまり、最初は無害なツールとして公式マーケットプレイスに登録して審査を通過し、同一のFirefox IDを維持したまま、後からウォレット窃取機能を持つ不正なバージョンへ変貌させていた。残りの31件にはスポーツAPIとの統合は見られなかったものの、当初からウォレットや認証情報の窃取機能が含まれていたという。

確認された悪質な拡張機能の名称と連絡先メールアドレスの例として、以下のようなものが挙げられている。

• Safe-Themes - Browser Extension（bliss-heaven@webbrol.com）
• Rabbit For Desktop（bright-save-feed@tabtools.org）
• ℞ab␢y Wa❘Iet（flex-clock-dash@extrakits.com）
• Rabb-Walӏet CryptoPortfolio（free-note-bolt@webtools.co）
• RABB-Walӏet Web3 & EVM（safe-stat-pure@proaddons.net）
• Rabbit/WALLET - EVM（sharp-stat-gear@netplugs.net）

特殊文字を用いて正規の「Rabby Wallet」に酷似した表記にするなど、利用者を欺くための視覚的な偽装も行われていた。

使い捨て拡張機能が繰り返される背景

セキュリティ研究者のボイチェンコ氏は、攻撃者が公式アドオンストアを標的にし続ける要因として、攻撃にかかるコストと得られる見返りのバランスを挙げている。

ボイチェンコ氏によると、使い捨ての拡張機能を繰り返し公開する手間に比べ、わずか1回のインストール成功によって手に入る復元フレーズや秘密鍵、ウォレット内の資産の価値ははるかに高いという。個々の拡張機能が短期間で発見・削除されたとしても、攻撃者にとっては十分に採算が取れる計算となる。

攻撃者は拡張機能の名称やIDを頻繁に入れ替え、既存のIDを別の用途へ転用し、コードを複製した上で、悪質な機能を拡張機能本体、遠隔ページ、クラウドインフラへと分散させていた。ボイチェンコ氏は、こうした分業と仕組みによって、不正な拡張機能の大量公開を低コストかつ大規模に継続できる状態が構築されていると指摘している。