Une usine à faux portefeuilles crypto tournait dans le magasin d'extensions Firefox

L'équipe de recherche de Socket a identifié 77 identités d'extensions Firefox reliées entre elles par la réutilisation de code, le clonage, des descriptions trompeuses, des identifiants choisis selon le même motif et des historiques de versions montrant qu'une même extension changeait de nature en cours de route.

Sur ces 77, 40 sont confirmées malveillantes et volent des secrets de portefeuille ou des identifiants. Les 37 autres se présentent comme des applications de scores sportifs et partagent avec les premières assez d'artefacts de publication pour appartenir à la même opération. Socket a baptisé l'ensemble « Offside Wallet Theft Factory ».

Ce qu'elles imitaient

Les extensions se faisaient passer pour OKX, Rabby Wallet, TronLink et diverses plateformes Web3 génériques, par substitution d'homoglyphes — des caractères visuellement identiques mais différents — et par copie de l'apparence.

Quatre mécanismes de vol

Le détail technique mérite d'être lu, parce qu'il montre une gradation dans le raffinement :

• Sept extensions interrogeaient un projet Supabase contrôlé par les attaquants pour obtenir l'adresse d'une page d'hameçonnage hébergée sur Cloudflare Pages, où la victime saisissait elle-même sa phrase de récupération.

• Quinze extensions embarquaient du code Rabby modifié qui interceptait la phrase de 12 à 24 mots au moment de la création ou de l'import, puis l'expédiait vers des points d'entrée Cloudflare Workers.

• Treize extensions exfiltraient le trousseau de clés sérialisé avant son chiffrement local, en clair, en HTTP simple sur le port 9000.

• Cinq extensions collectaient identifiants et contenu du presse-papiers, transmis par morceaux à un serveur de commande codé en dur.

Comment on relie 77 extensions entre elles

Aucun indice ne suffisait isolément. C'est le faisceau qui fait la démonstration :

• des suffixes d'identifiant Firefox qui ressemblent à des noms de domaine, choisis par l'auteur ;

• un même jeton de campagne présent dans plusieurs variantes de vol ;

• un identifiant d'API sportive partagé par 32 coquilles de scores de football ;

• des historiques de versions où une application de scores devient un voleur de portefeuille sous le même identifiant.

Les enregistrements de signature de Mozilla situent l'activité entre le 9 mars et le 3 août 2026, avec des pics en avril et fin juillet. Plusieurs extensions étaient encore en ligne pendant l'enquête.

Que faire si vous en avez installé une

Socket est net sur ce point, et c'est la partie à retenir :

Même des extensions de portefeuille de courte durée de vie peuvent causer un préjudice financier immédiat et irréversible dès lors que les victimes exposent leurs phrases de récupération ou leurs clés privées.

Désinstaller ne récupère rien. Il faut considérer comme compromis toute phrase de récupération, toute clé privée et tout état de portefeuille auxquels l'extension a eu accès, puis déplacer les fonds vers un portefeuille nouvellement créé, avec des clés neuves. Changer de mot de passe sur l'ancien ne sert à rien : la phrase de récupération le contourne par construction.

Source

Socket Threat Research, « 77 Firefox Extensions Linked to Crypto Wallet and Credential Theft », août 2026.