Zestien kwaadaardige Firefox-extensies, die zich voordeden als legitieme portemonneeportals, desktoptools en browserhulpprogramma's, zijn gebruikt om gebruikers van cryptovaluta te targeten. Deze extensies imiteerden de interfaces van bekende wallets zoals Rabby Wallet en OKX Wallet. Er werden vier grote kloons van Rabby en twaalf kleinere extensies met een OKX-achtige interface geanalyseerd.

De kwaadaardige software was specifiek ontworpen om gebruikers te misleiden bij het invoeren van hun herstelzinnen en privésleutels. De malware probeerde deze gevoelige informatie te onderscheppen zodra deze werd ingevoerd. Elke Rabby-kloon bevatte een uitgebreide set van 1.114 bestanden, waaronder schermen voor het importeren van portemonnees, code voor accountbeheer en transactie-interfaces. De gestolen informatie werd verzameld na de importbewerkingen van privésleutels en herstelzinnen, waarbij de extensies specifiek 12- of 24-woordzinnen en 64-karakter hexadecimale privésleutels accepteerden.

Elf van de kleinere extensies maakten gebruik van achtergrondscripts voor het stelen van inloggegevens. Deze extensies controleerden op zinnen van exact 12 of 24 woorden en stuurden deze vervolgens door naar een achtergrondafhandelaar. De interfaces van deze kleinere extensies leken op die van OKX, maar waren verpakt onder generieke portaalbranding. Tot overmaat van ramp verklaarde elke extensie in strijd met de feitelijke code dat er geen gegevens werden verzameld. De Rabby-klonen vroegen bovendien om brede browserrechten.

Verschillende methoden werden ingezet om de onderschepte geheimen te verzenden. De Rabby-klonen stuurden de informatie via GET-verzoek-URL's, met een alternatieve methode indien de eerste mislukte. De actieve OKX-achtige extensies verstuurden de ruwe zinnen via HTTPS POST-verzoeken met JSON-gegevens. Een achtergrondscript bood zelfs drie verzendmethoden aan: een browserbeacon, een POST-verzoek en een op afbeeldingen gebaseerd GET-fallback. Een enkele gebroken extensie miste de benodigde manifestvermelding om het achtergrondscript te laden, waardoor de bevestigde functionaliteit beperkt bleef tot diefstal van portemonneegeheimen.

Onderzoekers van Socket.dev hebben deze activiteit met hoge betrouwbaarheid gekoppeld aan een eerdere campagne in augustus 2026, gebaseerd op gedeelde code, infrastructuur en een gemeenschappelijke trackingmarkering. Die eerdere campagne gebruikte eveneens valse portemonnee-interfaces en Cloudflare Workers om geheimen te verzamelen. Hoewel legitieme Rabby- en DeBank-domeinen in de pakketten waren opgenomen, vormden deze geen campagnedindicatoren.

Mozilla heeft de kwaadaardige extensies op 5 oktober 2026 van zijn marktplaats verwijderd. Onderzoekers van Socket.dev identificeerden de malware en publiceerden hun bevindingen op 7 oktober 2026. Iedereen die een echte herstelzin of privésleutel heeft ingevoerd in een werkende variant, moet de betreffende portemonnee als gecompromitteerd beschouwen. Socket.dev raadt aan de extensies onmiddellijk te verwijderen, een nieuwe portemonnee op een schoon apparaat te creëren, activa te verplaatsen en alle relevante tokengoedkeuringen in te trekken.