Otkriveno 77 Firefox dodataka povezanih sa krađom kripto novčanika i lozinki

Vesti, 26.08.2026, 10:00 AM

Istraživači kompanije Socket otkrili su 77 međusobno povezanih dodataka za Firefox, među kojima je 40 potvrđenih zlonamernih dodataka namenjenih krađi fraza za oporavak kripto novčanika, lozinki i drugih osetljivih podataka. Kampanja, nazvana „Offside Wallet Theft Factory“, traje najmanje od marta 2026. godine.

Zlonamerni dodaci predstavljaju se kao kripto novčanici, generatori lozinki, alati za beleške i drugi korisni dodaci za pregledač. Jedan od njih nazvan je „0KX WEB3“, pri čemu je u nazivu upotrebljena nula umesto slova „O“ kako bi njegov naziv podsećao na naziv kripto berze OKX.

Autori dodatka tvrdili su da on ne prikuplja nikakve podatke. Naizgled je funkcionisao kao aplikacija za kripto novčanik, ali u njemu zapravo nije postojao kod za kreiranje novčanika, upravljanje ključevima ili obavljanje transakcija.

Umesto toga, „0KX WEB3“ je svaki put kada bi ga korisnik otvorio neprimetno proveravao bazu podataka na platformi Supabase, legitimnom servisu u oblaku. Napadači koji su kontrolisali bazu mogli su da odluče šta će dodatak prikazati.

Promenom jedne vrednosti u bazi mogli su da uključuju i isključuju njegovo zlonamerno ponašanje. Veći deo vremena dodatak je prikazivao bezazlenu beležnicu, ali je na komandu mogao da je zameni uverljivom stranicom koja je od korisnika tražila da uveze svoj kripto novčanik.

Žrtve koje bi na toj stranici unele frazu za oporavak direktno su je predavale napadačima. Pomoću tih podataka kriminalci mogu da obnove novčanik na drugom uređaju i prebace sredstva.

Pošto se „prekidač“ nalazio u udaljenoj bazi, a ne u kodu dodatka, napadači nisu morali da objavljuju novu verziju u prodavnici Firefox Add-ons da bi aktivirali fišing stranicu. Dodatak je tokom provere mogao da izgleda bezopasno, a da zlonamerno ponašanje bude uključeno kasnije.

Sam dodatak zahtevao je veoma malo dozvola. Istraživači upozoravaju da mali broj traženih dozvola ne znači nužno da je dodatak bezbedan. U ovom slučaju dodatku nisu bile potrebne široke privilegije, jer su korisnici sami unosili najosetljivije podatke u lažni obrazac.

Od 77 povezanih Firefox dodataka, za 40 je potvrđeno da kradu informacije. Preostalih 37 predstavljalo se kao VPN, generator lozinki, alat za beleške ili nešto drugo, ali su u pozadini prikazivali rezultate NBA, hokejaških ili fudbalskih utakmica.

U tim verzijama istraživači nisu pronašli zlonamerni kod. Ipak, dodaci su koristili isti kod i infrastrukturu kao potvrđeni kradljivci podataka, zbog čega su izazvali sumnju.

Dodatni razlog za zabrinutost predstavlja istorija pojedinih dodataka. Nekoliko dodataka za koje je kasnije potvrđeno da kradu podatke kripto novčanika prvobitno je prikazivalo sportske rezultate. Naknadnim ažuriranjem prikaz sportskih rezultata zamenjen je funkcijom koja je mogla da dovede do krađe sredstava.

Ovo nije prvi put da sajber kriminalci koriste dodatke za pregledače kao put do kripto novčanika. Ranije su otkrivane desetine zlonamernih dodataka za Chrome koji su krali fraze za oporavak i privatne ključeve, kao i kampanje u kojima su lažni dodaci krali podatke sa Googlea i Telegrama ili se predstavljali kao ChatGPT alati.

Korisnicima se savetuje da dodatke instaliraju samo od poznatih i proverenih izdavača i da budu posebno oprezni sa onima koji nude upravljanje kriptovalutama direktno iz pregledača. Legitimni kripto novčanik neće tražiti da frazu za oporavak unesete na veb-stranici.

Instalirane dodatke treba redovno pregledati i ukloniti sve koje korisnik ne prepoznaje ili više ne koristi, jer se njihovo ponašanje može promeniti naknadnim ažuriranjem. Ako je fraza za oporavak već uneta u sumnjivi dodatak, novčanik treba smatrati kompromitovanim, a sredstva odmah prebaciti u novi, bezbedan novčanik. Samo brisanje dodatka ne može da zaštiti sredstva ako su podaci već dospeli do napadača.