16 إضافة خبيثة لمتصفح Firefox تستهدف مستخدمي محفظتي Rabby و OKX

إضافات خبيثة تحت قناع الأدوات اليومية

كشف باحثو الأمن في Socket Threat Research عن 16 إضافة خبيثة لمتصفح Firefox تستهدف مستخدمي محفظتين شهيرتين للعملات المشفرة، وهما Rabby و OKX. فمحفظة Rabby هي محفظة خاصّة بـ Ethereum، بينما محفظة OKX هي محفظة لـ DeFi، وقد قام أكثر من مليون مستخدم بتحميل كل منهما. في البداية، ظهرت الإضافات كأدوات عادية لا علاقة لها بالعملات المشفرة، لكن الشيفرة الخبيثة المخبّأة بداخلها تحتوي على نسخ مزيفة من محافظ العملات الحقيقية، مصممة لالتقاط البيانات الحساسة.

عبارات الاستعادة تُرسل إلى خوادم يسيطر عليها المهاجمون

وفقاً للتقرير، تنتحل الإضافات صفة بوابات المحافظ وأدوات سطح المكتب وملحقات المتصفح، إلا أن شيفرتها تلتقط عبارات الاستعادة والمفاتيح الخاصة عند استيراد المحفظة وتحاول إرسال هذه الأسرار إلى Cloudflare Workers التي يسيطر عليها المهاجمون. يُطلب من الضحية استيراد محفظته، مما يكشف عبارات الاستعادة المكونة من 12 أو 24 كلمة أو المفاتيح الخاصة. ومن الجدير بالذكر أن جميع الإضافات أعلنت في ملف البيان أنها لا تجمع أي بيانات على الإطلاق، مما أقنع المستخدمين بأنهم في أمان.

Mozilla أزالت الإضافات، لكن الحملة مستمرة

أزالت Mozilla الإضافات الخبيثة من متجر الإضافات الخاص بها بحلول 5 أكتوبر 2026. إلا أن الباحثين يحذرون من أنه من غير المرجح أن يكون مشغلو الحملة قد توقفوا، حيث يغيّرون بشكل متكرر أسماء الحزم والإصدارات والمعرفات والأوصاف والمظهر العام. يصف Socket هذا الاكتشاف بأنه استمرار لحملة سرقة العملات المشفرة المذكورة سابقاً، والتي نشرت في أغسطس 2026 ما لا يقل عن 77 إضافة خبيثة لمتصفح Firefox. وفي الحالة السابقة، أصبح آلاف مستخدمي Firefox ضحايا لبرنامج خبيث مخبّأ في أيقونات الإضافات.

ما الذي يجب على المستخدمين المتضررين فعله

يحذر الباحثون من أن أي مستخدم أدخل عبارة استعادة أو مفاتيح خاصة عندما كانت هذه الإضافات نشطة يجب أن يعتبر محفظته مخترقة. ويُنصح المستخدمون المتضررون بالانتقال فوراً إلى محفظة جديدة أُنشئت في بيئة نظيفة ومحمية بعبارة استعادة جديدة.

المصادر: Cybernews