Noticias
Extensiones maliciosas de Firefox: 40 roban billeteras cripto y nueve empezaron como apps de resultados deportivos
El equipo de Threat Research de Socket publicó el 19 de agosto un informe sobre extensiones maliciosas de Firefox que se hacen pasar por billeteras cripto: rastreó 77 identidades vinculadas entre sí y confirmó que 40 son maliciosas. Roban frases de recuperación, claves privadas, contraseñas y contenido del portapapeles.
Hasta ahí, una noticia más de complementos truchos. Lo que la vuelve distinta aparece a mitad del informe: nueve de esas extensiones no llegaron robando. Se publicaron como aplicaciones de resultados deportivos —fútbol, básquet, NBA y fútbol americano— y una actualización posterior les cambió el oficio sin cambiarles el identificador. Socket aclara que esas cáscaras tampoco eran inocentes: las lee como versiones de preparación. Pero para quien las tenía instaladas el efecto es el mismo: se dieron vuelta solas.
Lo que vas a encontrar acá
- Qué encontró Socket en las extensiones maliciosas de Firefox
- Cuatro maneras distintas de vaciarte la billetera
- Por qué mirar los permisos, esta vez, no te salva
- De marcador deportivo a ladrona de llaves, con el mismo ID
- Ocho días antes había pasado casi lo mismo en Chrome
- ¿Y esto qué significa para vos?
- Preguntas frecuentes sobre las extensiones falsas de billeteras
Qué encontró Socket en las extensiones maliciosas de Firefox
El informe lo firma el investigador Kirill Boychenko y está publicado en el blog de Socket. La campaña, bautizada provisoriamente «Offside Wallet Theft Factory», viene operando desde al menos marzo de 2026 y siguió activa durante agosto.
El conjunto son 77 identidades conectadas entre sí por reutilización de código, infraestructura compartida, patrones de identificadores e historiales de versiones. El análisis extensión por extensión confirma 40 como maliciosas. Las otras 37 son cáscaras de resultados deportivos: sus builds no traían carga maliciosa confirmada, pero Socket sostiene que su funcionalidad engañosa y sus historiales «indican intención maliciosa», y las lee como posibles versiones de preparación.
Las marcas suplantadas son las que reconocería cualquiera que opere con cripto: OKX, Rabby Wallet y TronLink. Los registros de firma de Mozilla de las 59 versiones analizadas al principio van del 9 de marzo al 3 de agosto, con picos en abril y a fines de julio; investigando hasta mediados de agosto aparecieron 18 identidades más, hasta llegar a 77.
| El dato | El número |
|---|---|
| Identidades de extensiones rastreadas | 77 |
| Confirmadas maliciosas | 40 |
| Cáscaras de resultados deportivos | 37 (32 de fútbol, más básquet, NBA y hockey) |
| Empezaron como app deportiva y mutaron a robo de billeteras | 9, con el mismo identificador de Firefox |
| Campaña activa desde | Al menos marzo de 2026 |
| Atribución a un grupo conocido | Ninguna. Socket dice que la evidencia no prueba que un solo actor controle todo |
| Permisos que pedía la impostora de OKX | Dos: storage y tabs. Menos que tu extensión de modo oscuro |
Cuatro maneras distintas de vaciarte la billetera
Las 40 no usan un solo truco. Socket las separa en cuatro familias, y cada una se defiende distinto.
1. Siete extensiones con interruptor remoto
Usan proyectos de Supabase controlados por los atacantes como interruptor: la extensión consulta una tabla remota y, si ahí hay una URL, la carga en su ventana; si no, muestra un bloc de notas que funciona de tapadera. El código de la extensión etiqueta esos dos estados como «OFF MODE» y «ON MODE». Cambiando un solo valor, el atacante pasa de benigno a página de phishing sin republicar nada.
2. Quince que se llevan la frase de recuperación
Acá la interfaz falsa y el código de robo vienen adentro del paquete firmado. Varias esconden código modificado de Rabby detrás de nombres que no tienen nada que ver, del estilo Sady-Theme o School-Theme. El implante captura las frases de recuperación de 12 o 24 palabras cuando las creás o las importás y las manda a servidores montados sobre Cloudflare Workers, una plataforma legítima usada acá con fines que no lo son. Mientras tanto la billetera sigue funcionando: todo parece normal.
3. Trece que roban antes de que se active el cifrado
Esta es la más silenciosa. Rabby serializa sus llaveros, los cifra y los guarda en tu equipo; las trece variantes modifican esa rutina para mandar el llavero serializado a un servidor externo justo antes de que corra el cifrado legítimo, por HTTP sin cifrar y por el puerto 9000. Como dice el informe, el cifrado local no puede proteger un dato que el implante ya sacó de la máquina. Y no hay pantalla falsa ni formulario sospechoso: la víctima usa su billetera con normalidad.
4. Cinco que apuntan a tus contraseñas y a tu portapapeles
La última familia también se publica con nombre de billetera, pero su botín es más amplio: recolecta credenciales y contenido del portapapeles y lo manda a un servidor con IP fija. Para el portapapeles parte el contenido en pedazos numerados, de modo que del otro lado se pueda reconstruir algo largo. Según qué hayas copiado, ahí puede viajar una contraseña, una dirección de billetera o cualquier cosa que pasaste por Ctrl+C.
Y el dato que amplía el problema más allá del mundo cripto: las cinco venían de utilidades comunes. Antes de adoptar nombres tipo Rabby se llamaban Visited Link Marker, Tab Muter, Kube Units, Flow Pomodoros y Radius Forge. Un silenciador de pestañas lo instala cualquiera, tenga o no una billetera.
«Una sola instalación exitosa puede exponer una frase de recuperación, una clave privada o el estado de una billetera por un valor muy superior al costo de publicar extensiones descartables una y otra vez.»
Socket Threat Research, en el informe firmado por Kirill Boychenko
Esa frase explica el modelo: publicar es barato, quemar identidades es barato, y una sola víctima paga toda la operación.
Por qué mirar los permisos, esta vez, no te salva
El consejo estándar al instalar un complemento es mirar qué permisos pide. Es un buen reflejo y sigue sirviendo, pero este informe muestra que a veces no alcanza.
La extensión con la que arranca la investigación, 0KX WEB3 —se presenta como billetera de OKX y escribe su nombre con un cero—, pide exactamente dos permisos: storage y tabs. Nada de cookies, historial ni sitios visitados. En la pantalla de instalación no hay nada que encienda una alarma, porque no le hace falta buscar nada: su trabajo es mostrarte una pantalla convincente y esperar a que vos escribas ahí tu frase de recuperación. El robo lo hacés vos, de tu puño y letra.
Ese paquete, además, declaraba que no recolectaba datos. Técnicamente el código empaquetado no transmite tus claves; el que las pide es el formulario remoto que la extensión te abre. La declaración es cierta y engañosa a la vez, que es más o menos la definición de este negocio. Aclaración para no tirar el reflejo a la basura: no todas son así. A otra extensión de esta misma campaña el escáner de Socket le marcó permisos amplios y comodines de host, o sea justo lo que uno espera ver.
«Quienes defienden no deberían tratar los permisos solicitados como un indicador de confianza.»
Socket Threat Research, en la sección de recomendaciones del informe
La recomendación completa es evaluarlos junto con otras señales: código, contenido remoto, cambios entre versiones, infraestructura e historial de firmas. Traducido: la ficha de la tienda no te da la información que necesitarías para decidir bien. Ese es el problema de fondo, no un descuido tuyo.
De marcador deportivo a ladrona de llaves, con el mismo ID
Acá está el hallazgo más incómodo del informe, y el que menos se está contando.
Treinta y siete de las extensiones rastreadas se presentan como utilidades genéricas —generador de contraseñas, modo oscuro, VPN, conversor de moneda, capturas, notas— pero por dentro son todas aplicaciones de resultados deportivos. Treinta y dos consultan la misma API de fútbol con la misma credencial escrita a mano en el código; las otras cinco usan básquet, NBA y hockey. Los nombres no ayudan: Quick Temp, Smart Pass, Dash Money, Forecast Tip, Currency Hub.
Ya eso es raro. Lo grave es el historial de versiones: nueve identidades confirmadas como maliciosas tienen versiones anteriores que eran esas cáscaras deportivas —dos de fútbol, dos de básquet, dos de NBA y tres de fútbol americano, según la lista del propio informe—. Una que se publicó como marcador de básquet terminó robando llaveros de Rabby. Y en todos los casos el identificador de Firefox no cambió: para el navegador, y para vos, es la misma extensión que instalaste hace meses recibiendo una actualización más.
Un caso resume todo. Otra impostora de OKX, distinta de la anterior, con caracteres parecidos para engañar a la vista, corre bajo un identificador que literalmente dice live-football-scores. Se olvidaron de cambiar el cartel de la puerta.
La consecuencia conviene decirla sin vueltas: revisar una extensión el día que la instalás no es una garantía permanente. El informe recomienda volver a evaluar los complementos después de cada actualización. Nadie hace eso. Ese es el hueco por el que entra esta campaña.
Ocho días antes había pasado casi lo mismo en Chrome
Si esto te suena parecido a algo que leíste hace poco acá, no es casualidad. El 11 de agosto Socket publicó un informe casi calcado sobre la otra tienda, que cubrimos al día siguiente: las 737 extensiones VPN falsas que pasaron el control de Chrome. Ocho días después salió este. Dos tiendas, dos campañas que Socket no vincula, el mismo equipo firmando las dos.
Puestas al lado dicen lo único que importa: el problema no es de un navegador.
| Chrome (informe del 11 de agosto) | Firefox (informe del 19 de agosto) | |
|---|---|---|
| Qué se publicó | 737 extensiones de VPN falsas | 77 identidades, 40 confirmadas maliciosas |
| El botín | Ver todo el tráfico del navegador | Frases de recuperación, claves, contraseñas y portapapeles |
| El permiso que pedían | Solo proxy, en 497 de 522 | Solo storage y tabs, en el caso analizado |
| A quién apuntaba | 94% a usuarios de habla rusa | Sin público declarado en el informe |
| Qué tenían en común | Publicación en volumen, identidades descartables, un permiso que parece inofensivo y una tienda oficial que las aprobó | |
Hay una diferencia de alcance. La campaña de Chrome apuntaba en un 94% a usuarios de habla rusa, aunque —como escribimos entonces— el método no tenía nada de específicamente ruso: la tienda era la misma y las marcas copiadas también. Esta ni siquiera declara público geográfico: son billeteras cripto genéricas en la tienda global. Y si hay una región donde una billetera cripto es cosa de todos los días, es esta.
¿Y esto qué significa para vos?
Primero, la parte tranquilizadora: si no usás billeteras cripto en el navegador, el grueso de esta campaña no te toca. Pero las cinco de la cuarta familia venían de utilidades comunes, y las 37 cáscaras se disfrazan de herramientas corrientes.
Lo que conviene hacer, en orden:
- Abrí el administrador de complementos de Firefox y mirá la lista completa, no solo las que usás. Prestá atención a las que no recordás haber instalado y a las de nombre genérico. Lo que no reconozcas, desinstalalo: si después lo necesitás, lo reinstalás desde el sitio del fabricante.
- Verificá las billeteras contra el sitio oficial. Entrá a la web de tu billetera y usá solamente el complemento que ella enlaza. No busques el nombre en la tienda: ahí es donde están las imitaciones con letras cambiadas.
- Si escribiste una frase de recuperación en una extensión, dala por comprometida. Esto es lo más importante de toda la nota: desinstalar no revierte nada. Quien tenga esa frase puede rehacer tu billetera en otro dispositivo cuando se le antoje. Lo único que sirve es mover los fondos a una billetera nueva, creada en un equipo limpio.
- Cambiá las contraseñas que hayas copiado y pegado mientras tuviste instalado algo dudoso, igual que con la campaña que roba contraseñas con una pantalla de bloqueo falsa de Windows: la credencial que ya viajó no vuelve.
Y una advertencia sobre el reflejo de siempre: acá un antivirus no es la herramienta principal. Es la misma conclusión del caso de Chrome, y por el mismo motivo: estas extensiones no llegan como un archivo infectado, sino como una descarga firmada y aprobada por la tienda. Contra la cuarta familia sí ayuda un hábito: dejar de copiar y pegar contraseñas. Un gestor las guarda cifradas y las completa solo en el dominio correcto, así que no pasan por el portapapeles ni se autocompletan en una página falsa. Pero que quede claro: ningún producto te devuelve una frase de recuperación que ya entregaste.
Mozilla viene peleando este frente hace rato: desarrolló un sistema de detección temprana para billeteras falsas, con indicadores automáticos de riesgo y revisores humanos. Su responsable de operaciones lo describía sin adornos:
«Es un juego constante del gato y el ratón», porque «los desarrolladores intentan sortear nuestros métodos de detección».
Andreas Wagner, Add-ons Operations Manager de Mozilla — vía el blog de complementos de Mozilla (mayo de 2025)
Varios párrafos después deja el consejo que hoy sigue siendo el que corresponde: «Fijate en el sitio web de tu billetera cripto si tienen una extensión oficial, y usá únicamente la que ellos enlazan». Son de mayo de 2025, no una respuesta a este informe: muestran que la tienda conoce el problema desde antes. Socket reportó a Mozilla las extensiones que seguían en línea —varias lo estaban— y una fue retirada antes de publicarse el informe.
Preguntas frecuentes sobre las extensiones falsas de billeteras
¿Cómo sé si tengo una de estas extensiones instaladas?
Abrí el administrador de complementos de Firefox y revisá la lista entera. Sospechá de las billeteras cripto cuyo nombre tenga letras raras o cambiadas, y de utilidades genéricas que no recordás haber instalado. El informe de Socket publica los identificadores y las huellas de las 40 confirmadas como maliciosas.
¿Alcanza con desinstalar la extensión?
No. Desinstalar frena que siga robando, pero no recupera lo ya enviado. Si alguna vez escribiste ahí una frase de recuperación o una clave privada, tenés que considerarlas comprometidas para siempre y mover los fondos a una billetera nueva creada en un equipo limpio. Cambiá también las contraseñas que hayas copiado al portapapeles.
¿Una extensión que ya tenía instalada puede volverse maliciosa después?
Sí. Nueve identidades de esta campaña empezaron como aplicaciones de resultados deportivos y una actualización posterior les reemplazó la funcionalidad por código que roba billeteras, conservando el mismo identificador de Firefox. Por eso Socket recomienda volver a evaluar los complementos después de cada actualización, no solo al instalarlos.
¿Mozilla ya sacó todas estas extensiones de la tienda?
Socket reportó a Mozilla las que seguían en línea durante la investigación, y una fue retirada antes de la publicación. El informe no da un recuento final de cuántas quedaron activas al cierre, así que conviene revisar tus complementos igual, en vez de asumir que ya está resuelto.
¿Y vos qué opinás? Dejalo en los comentarios ⬇️
Dejá de copiar contraseñas al portapapeles →
