Fausses extensions Firefox : 40 wallets crypto malveillants identifiés

L’entreprise de cybersécurité Socket a identifié un réseau de 77 extensions Firefox liées à une même infrastructure malveillante, dont 40 ont été confirmées comme des voleurs de wallets crypto. Ces modules se font passer pour des produits Web3 légitimes comme OKX, Rabby Wallet ou TronLink pour dérober les phrases de récupération. La campagne s’étend du 9 mars au 3 août, et plusieurs extensions étaient encore en ligne au moment du signalement.

Au programme

• 77 extensions Firefox reliées par une infrastructure partagée, dont 40 voleuses de wallets confirmées
• 9 modules publiés comme outils de scores sportifs avant de recevoir un code malveillant par mise à jour
• Une campagne active du 9 mars au 3 août, avec des extensions encore en ligne lors du signalement

Cette campagne repose sur 77 identités d’extensions reliées par un code, une infrastructure et des schémas de publication partagés. Parmi elles, 40 extensions dérobent directement les données sensibles des utilisateurs via de fausses interfaces de wallets ou des copies altérées de code légitime. Neuf de ces modules ont d’abord été publiés comme des outils de scores sportifs avant de recevoir un code malveillant via une mise à jour.

Comment ces extensions volent-elles les données des utilisateurs ?

Les 77 extensions identifiées par Socket attaquent leur cible sur plusieurs fronts. Les 40 modules confirmés comme malveillants ciblent précisément les utilisateurs de Firefox qui détiennent des cryptomonnaies. Leur mécanique est simple : elles affichent de fausses interfaces de wallets ou exploitent des versions modifiées du code original.

Une fois installées, ces extensions interceptent les seed phrases, les clés privées, les données de compte, les identifiants enregistrés et le contenu du presse-papiers. La compromission est permanente : Socket recommande de considérer tout wallet dont la phrase de récupération a été saisie dans l’une de ces extensions comme définitivement compromis. Les fonds doivent être déplacés immédiatement vers un nouveau portefeuille.

Le vecteur d’infection le plus sournois reste la mise à jour silencieuse. 9 extensions ont d’abord été publiées sous l’apparence d’applications de scores sportifs, puis ont reçu un code de vol de wallets via une simple actualisation. Cette technique contourne la vigilance des utilisateurs qui n’ont installé qu’un outil anodin à l’origine.

Que cachent les 37 extensions restantes déguisées en outils ?

Les 37 extensions restantes ne volent pas directement des cryptomonnaies. Elles se présentent comme des générateurs de mots de passe, des VPN ou des modes sombres, mais exécutent en réalité des applications de scores sportifs. Ce déguisement sert probablement à gonfler artificiellement leur base d’utilisateurs ou à tester la robustesse du processus de validation de Mozilla.

Ce mélange de modules malveillants et d’extensions trompeuses complique la détection. Un utilisateur qui installe un « mode sombre » ne s’attend pas à ce que l’extension fasse autre chose. Pourtant, ces 37 modules partagent la même infrastructure que les voleurs de wallets, ce qui suggère une seule opération coordonnée derrière l’ensemble des 77 identités.

Le précédent des fausses invitations Zoom utilisées par BlueNoroff montre que les groupes cybercriminels spécialisés dans la crypto peaufinent leurs méthodes de hameçonnage sur plusieurs mois. Ici, la période d’activité documentée couvre près de 5 mois, du 9 mars au 3 août.

Pourquoi Firefox est-il particulièrement exposé à ce type d’attaque ?

Le choix de Firefox n’est pas anodin. Le navigateur de Mozilla applique des contrôles moins stricts que Chrome sur les extensions, ce qui laisse davantage de latitude aux développeurs malveillants. Le réseau identifié par Socket exploite cette faiblesse avec 77 identités distinctes qui se renouvellent pour échapper aux suppressions.

La période d’activité est longue : du 9 mars au 3 août, soit près de 5 mois pendant lesquels ces extensions sont restées disponibles. Certaines étaient encore en ligne quand Socket a publié son signalement. Mozilla n’a pas encore communiqué sur le retrait complet de ces modules.

Cette affaire rappelle le zero-day de Firefox qui ciblait les employés de Coinbase en 2025. Les utilisateurs de ce navigateur qui manipulent des cryptomonnaies doivent renforcer leur vigilance, d’autant que les sites frauduleux capables d’afficher une URL correcte ajoutent une couche de confusion supplémentaire.

Les utilisateurs qui ont saisi leur phrase de récupération ou leur clé privée dans l’une de ces extensions doivent les traiter comme définitivement compromises et transférer leurs fonds vers un nouveau wallet.

Comment se protéger face à ces extensions malveillantes ?

La première ligne de défense reste la vérification manuelle de toute extension avant installation. Un module officiel OKX, Rabby ou TronLink ne demande jamais la saisie de la phrase de récupération dans l’extension elle-même. Toute interface qui réclame ces informations est un signal d’alerte immédiat.

Les utilisateurs doivent également surveiller les permissions demandées par une extension. Un « mode sombre » ou un « générateur de mots de passe » n’a aucune raison d’accéder au presse-papiers ou aux données des pages Web. La mise à jour automatique constitue un second risque : une extension installée de bonne foi peut devenir malveillante après une actualisation.

En cas de compromission, la seule parade efficace est le déplacement des fonds. Les wallets dont la phrase de récupération a été exposée ne peuvent pas être « réparés » : ils restent accessibles à l’attaquant tant que les fonds y demeurent. La création d’un nouveau wallet avec une nouvelle phrase reste l’unique solution définitive.

À retenir

Socket a documenté 77 extensions Firefox liées à une infrastructure partagée, dont 40 volent activement des wallets crypto. Les marques usurpées incluent OKX, Rabby Wallet et TronLink, sur une période d’activité allant du 9 mars au 3 août 2026. Toute phrase de récupération saisie dans ces modules doit être considérée comme compromise. La recommandation de Socket est sans ambiguïté : déplacer les fonds vers un nouveau wallet sans délai.

Questions fréquentes

Comment savoir si une extension Firefox est malveillante ?

Vérifiez les permissions demandées : un mode sombre ou un VPN n’a aucun besoin d’accéder au presse-papiers. Une extension légitime de wallet comme OKX ne demande jamais la saisie de votre phrase de récupération dans l’interface elle-même. En cas de doute, désinstallez immédiatement le module.

Que faire si j’ai saisi ma seed phrase dans une fausse extension ?

Considérez le wallet comme définitivement compromis. Créez un nouveau portefeuille avec une nouvelle phrase de récupération, puis transférez tous les fonds sans délai. Socket insiste : aucun mécanisme ne permet de « réparer » un wallet dont la phrase a été exposée, l’attaquant y conserve un accès permanent.

Pourquoi ces extensions ciblent-elles spécifiquement Firefox ?

Mozilla applique des contrôles moins stricts que Chrome lors de la validation des extensions. Les 77 identités identifiées par Socket exploitent cette latitude pour survivre plus longtemps, avec une activité documentée du 9 mars au 3 août. Certaines extensions étaient encore disponibles au moment du signalement de l’entreprise.