A empresa de segurança Socket mapeou 77 extensões do Firefox ligadas a uma única operação de roubo de criptomoedas — batizada por eles de “Offside Wallet Theft Factory”. Destas, 40 são confirmadamente maliciosas e se passam por carteiras conhecidas como OKX, Rabby Wallet e TronLink. As outras 37 se disfarçavam de utilitários inofensivos. Todas compartilham código, infraestrutura e rastros de publicação. A fábrica rodou por cinco meses antes de ser exposta.
Como a fábrica funcionava
O que impressiona no relatório da Socket não é uma extensão maliciosa — disso o mercado já viu bastante. É a escala industrial. As 77 extensões não são coincidência: elas compartilham trechos de código, a mesma infraestrutura de exfiltração e artefatos de publicação em comum. Foi uma linha de montagem, não um golpe isolado.
| Grupo | Quantas | O que faziam |
|---|---|---|
| Ladras de segredo de carteira | 15 | Capturam frase de recuperação, chave privada e segredos, e enviam via Cloudflare Workers |
| Rabby Wallet modificada | 13 | Extraem o keyring serializado antes da criptografia local |
| Ladras de credencial | 5 | Roubam login e conteúdo da área de transferência via servidor de comando fixo |
| Interruptor remoto | 7 | Usam projetos Supabase do criminoso para ligar o phishing quando quiserem |
| Disfarces | 37 | Utilitários aparentemente inocentes, ligados à mesma operação |
O detalhe mais grave: o Rabby modificado
As 13 versões falsificadas do Rabby Wallet merecem atenção especial. Elas roubam o keyring — o conjunto de chaves da carteira — antes de ele ser criptografado localmente. Ou seja: a senha que você criou não protege nada, porque o dado é copiado enquanto ainda está em texto aberto na memória do navegador. Para a vítima, a extensão funciona exatamente como a original.
A extensão não precisa te enganar duas vezes. Basta você instalar uma vez e restaurar sua carteira nela. A partir daí, o roubo pode acontecer semanas depois — quando o saldo estiver maior.
O truque do interruptor remoto
Sete extensões usavam projetos Supabase controlados pelos criminosos como chave liga-desliga. Isso derrota o modelo de revisão das lojas: no dia da análise, a extensão é limpa e faz o que promete. Semanas depois, o operador aciona o interruptor remotamente e o mesmo código passa a servir telas de phishing. É o mesmo padrão de “dormir e acordar como malware” que a Socket descreve nas outras variantes.
Como se proteger — sem paranoia, com método
Cinco regras que resolvem 90% do risco
- Baixe sempre pelo site oficial do projeto. Nunca por link de anúncio, de resultado de busca patrocinado ou de vídeo. Confira o endereço letra por letra antes de instalar.
- Desconfie de contagem de instalações e avaliações. Uma extensão com poucos usuários e nota alta demais é um sinal clássico. Idem para a que apareceu na loja há poucas semanas.
- Nunca digite sua frase de recuperação em uma extensão recém-instalada. Se você precisa restaurar, faça em um aparelho limpo — e prefira restaurar em carteira de hardware ou aplicativo, não em navegador.
- Separe os saldos. Carteira de navegador é carteira de troco. Valor relevante fica em hardware wallet ou em aplicativo com as chaves no aparelho.
- Se você instalou uma dessas: mova os fundos primeiro, investigue depois. Crie uma carteira nova em um aparelho não comprometido, transfira tudo e só então desinstale. Chave exposta é chave queimada para sempre — trocar a senha não adianta.
Por que isso continua acontecendo
Porque o modelo de segurança do navegador foi feito para bloquear páginas maliciosas, não para auditar o que uma extensão instalada com permissão do usuário faz com os dados que ela mesma pede. Uma extensão de carteira precisa, legitimamente, acessar chaves — então o pedido de permissão parece razoável. A revisão da loja acontece uma vez; o código pode mudar de comportamento depois, como esses sete casos de Supabase mostraram.
Não é um problema exclusivo do Firefox: a mesma dinâmica já produziu campanhas equivalentes em outras lojas de extensão. É uma questão estrutural de onde você guarda a chave. Foi a mesma lição do trio de golpes que analisamos há duas semanas: anúncio falso no Google, vaga fantasma no LinkedIn e startup inventada — todos terminam no mesmo lugar, pedindo suas 12 palavras.
A campanha em números
77
Extensões ligadas à campanha
40
Confirmadamente maliciosas
5 meses
De março a agosto de 2026
3
Carteiras imitadas: OKX, Rabby, TronLink
Perguntas Frequentes
Quantas extensões maliciosas foram encontradas no Firefox?
A Socket vinculou 77 extensões do Firefox à mesma campanha, das quais 40 foram confirmadas como maliciosas. As outras 37 se disfarçavam de utilitários sem relação com cripto, mas compartilhavam código e infraestrutura com as demais.
Quais carteiras eram imitadas?
OKX, Rabby Wallet e TronLink foram as carteiras citadas nominalmente pelos pesquisadores como alvos de falsificação, além de outros produtos Web3.
Como as extensões roubavam os fundos?
Quinze delas capturavam frases de recuperação, chaves privadas e outros segredos da carteira e enviavam os dados por Cloudflare Workers. Treze eram versões modificadas do Rabby Wallet que extraíam o keyring serializado antes da criptografia local, tornando a senha do usuário irrelevante. Outras cinco roubavam credenciais e o conteúdo da área de transferência.
Desde quando a campanha estava ativa?
Desde pelo menos março de 2026. Os registros de assinatura da Mozilla para as 59 versões analisadas inicialmente vão de 9 de março a 3 de agosto de 2026, com pico de atividade em abril e no fim de julho.
Instalei uma extensão dessas. O que faço agora?
Considere as chaves comprometidas. Crie uma carteira nova em um aparelho limpo, transfira todos os fundos para ela imediatamente e só depois desinstale a extensão. Trocar a senha não resolve: se a frase de recuperação vazou, quem a tem controla a carteira para sempre.
Como evitar cair nesse tipo de golpe?
Baixe apenas pelo site oficial do projeto, desconfie de extensões novas com avaliações boas demais, nunca digite sua frase de recuperação em uma extensão recém-instalada e mantenha valores relevantes fora do navegador — em carteira de hardware ou em aplicativo com as chaves no próprio aparelho.