Onderzoekers van Socket.dev hebben negentien browserextensies ontdekt, waarvan achttien voor Chrome en één voor Microsoft Edge, die het kwaadaardige gedrag "Superior" vertonen. Deze extensies, die eerst nuttige functionaliteiten boden zoals zoekhulpen en prijsmonitors, werden via routine-updates overgenomen door aanvallers. Er werd schadelijke code verspreid via deze updates. Veertien van de geïnfecteerde extensies werden oorspronkelijk door de aanvallers gemaakt, terwijl vijf extensies naar verluidt waren aangekocht van legitieme ontwikkelaars.

De extensie 'Enable Right Click & Copy – Smart Unlock + OCR' is de meest getroffen, met mogelijk 80.000 gebruikers. De kwaadaardige operatie maakt gebruik van een flexibel framework dat het downloaden en uitvoeren van payloads toestaat. Een gebruikte techniek is het verwijderen van de Content Security Policy-header van webpagina's, wat code-injectie door de extensie mogelijk maakt. De software opent vervolgens een versleuteld WebSocket-kanaal naar door aanvallers gecontroleerde servers om code-modules te ontvangen.

De gedownloade modules zijn specifiek gericht op het stelen van cryptovaluta. Ze detecteren EVM-, Solana- en Tron-wallets en presenteren vervolgens kwaadaardige goedkeuringsverzoeken. Een andere module probeert seed phrases te onderscheppen door middel van valse herstel- of update-schermen. De operatie richt zich echter ook op het stelen van andere gevoelige informatie, waaronder inloggegevens, sessiegegevens en browsegeschiedenis.

Specifiek worden extensies en sessies van cryptobeurzen en wallets, zoals Coinbase, Binance, Kraken en MetaMask, geviseerd. Het doel is het verzamelen van cookies, toegangstokens en profielinformatie. Een universele 'form grabber' registreert daarbij alle invoervelden op bezochte websites, waaronder tekst, e-mailadressen en wachtwoorden. De campagne omvat tevens diefstal van social-media gegevens en verspreiding van valse browsertupdate-prompts, die aanvallers de mogelijkheid geven om commando's te laten uitvoeren door slachtoffers.

Google heeft de Chrome-versie van de extensie 'Enable Right Click & Copy – Smart Unlock + OCR' inmiddels verwijderd. Op 31 augustus 2026 was de Microsoft Edge-versie van deze specifieke extensie echter nog steeds actief. Gebruikers wordt aangeraden om geïnstalleerde extensies te controleren, onnodige te verwijderen en recentelijk gewijzigde extensies nader te onderzoeken. Gebruikers die een getroffen extensie hebben gebruikt, wordt geadviseerd hun wachtwoorden te wijzigen vanaf een schoon apparaat, actieve sessies in te trekken en indien nodig cryptovaluta te verplaatsen, zeker als er mogelijk een recovery phrase is ingevoerd.