16 Malicious Firefox Extensions Pose as Rabby and OKX Wallets to Steal Recovery Phrases
The Hacker News · 8 oct, 11:46
Investigadores de ciberseguridad han descubierto 16 extensiones maliciosas de Firefox que se hacen pasar por billeteras de criptomonedas Rabby y OKX para robar frases de recuperación y claves privadas. Las extensiones interceptan credenciales durante flujos de importación de billeteras y las envían a servidores controlados por atacantes en Cloudflare Workers. El incidente forma parte de una campaña continua de suplantación de billeteras que ha evolucionado rotando nombres de paquetes e IDs de extensión mientras reutiliza la misma infraestructura maliciosa.
Cuatro de las 16 extensiones son clones de Rabby Wallet y las 12 restantes de OKX Wallet. Todas excepto una contactan con el dominio "*.icy-star-f45c.workers[.]dev" para exfiltrar frases nemotécnicas y claves privadas. La actividad representa una continuación de una ola anterior documentada en agosto de 2026, donde los atacantes rotan nombres de paquetes, versiones, IDs de extensión y presentación visual mientras reutilizan interfaces de billetera, lógica de manejo de credenciales e infraestructura de red idénticas.
A partir del 5 de octubre de 2026, todas las extensiones han sido eliminadas de Firefox. Los usuarios que instalaron cualquiera de estas extensiones e ingresaron frases de recuperación o claves privadas reales deben asumir compromiso, crear una nueva billetera desde un sistema limpio y transferir sus activos. El artículo documenta además otros ataques recientes mediante extensiones maliciosas en Chrome, Edge y Firefox que roban cookies de sesión, sustituyen pestañas con páginas de phishing, interceptan conversaciones con IA, y distribuyen troyanos VPN.
Puntos clave
- 16 extensiones Firefox suplantando Rabby (4) y OKX (12) para robar claves y frases de recuperación
- Todas contactan servidores en icy-star-f45c.workers[.]dev para exfiltración de credenciales
- Continuación de campaña de agosto 2026 con rotación de identidades pero reutilizando infraestructura
- Extensiones eliminadas del navegador desde el 5 de octubre de 2026
- Usuarios comprometidos deben crear billetera nueva desde sistema limpio y transferir activos