浏览器里的“钱包刺客”：40个恶意Firefox扩展正在窃取你的私钥

防范建议：只从钱包官网跳转安装扩展；大额资产使用Ledger、Trezor等硬件钱包；定期检查扩展权限变更；切勿盲目信任官方商店审核——审核通过并不代表永远安全。

自查四步：打开about:addons检查已装扩展；留意非官方渠道安装、名称异常（如用相似字符伪装）及权限过高的工具类扩展；发现可疑立即卸载，若曾输入助记词需转移资产至新地址；转账前仔细核对收款地址，防止剪贴板被篡改。

安全公司Socket在Firefox官方扩展商店发现40个恶意浏览器扩展，伪装成OKX、Rabby Wallet等主流钱包，窃取用户助记词与私钥，并关联37个“体育工具”外壳插件，共涉及77个代码仓库，攻击自2026年3月起持续活跃。

打开浏览器，输入钱包密码、粘贴助记词、点击“解锁”——这是无数 Web3 用户的日常操作。但你有没有想过：你安装的浏览器扩展，可能正在后台静静地记录你输入的每一个字符？

2026年8月20日，安全研究团队 Socket 发布了一份令人震惊的调查报告：黑客团伙在 Mozilla Firefox 官方扩展商店中，批量上架了至少 40 款高危恶意扩展，专门伪装成 OKX、Rabby Wallet、TronLink 等主流 Web3 钱包，诱导用户输入助记词与私钥，随后在后台静默完成资产洗劫。这 40 个恶意扩展只是冰山一角，整个攻击行动还关联了另外 37 个伪装成“体育赛事比分查看”的外壳插件，累计覆盖 77 个相互关联的代码仓库与发布分支。

更令人不安的是，这场攻击自2026年3月起便已开始活跃，至今仍在持续。40 个恶意扩展，正潜伏在无数用户的浏览器里，而那些私钥和助记词，早已落入了攻击者手中。

Part 01 - 40 个恶意扩展的工业化窃密流水线

一句话概括：这已经不是传统的“钓鱼”，而是一条高度工业化、流水线化的恶意扩展供应链。

图片来源：https://socket.dev/blog/firefox-crypto-wallet-theft

Socket 将此次攻击命名为“Offside 钱包盗窃工场”。攻击链条清晰而高效：攻击者批量构建或改造扩展，上架至 Firefox 官方商店；用户安装后，扩展通过远程加载钓鱼页面或内置窃密代码捕获助记词与私钥，完成钱包接管和资产盗窃。部分扩展最初以“体育比分工具”等形式出现，之后在保留相同 Firefox 扩展 ID 的情况下被转变为钱包窃密程序。上图正是这一攻击流程的可视化呈现。

攻击者采用了三种核心手段来构建这场大规模窃密行动：

1. 代码同源 + 批量分发（流水线生产）

40 款恶意插件底层共享一套核心窃密模板，这意味着攻击者只需维护一套恶意代码，就能批量生成数十个不同“品牌”的恶意扩展。不同的扩展名称、不同的图标、不同的伪装页面——但窃取私钥的核心逻辑完全一样。

2. 云端“暗门”遥控开关（绕过审核）

这是本次攻击最狡猾的部分。攻击者利用合法的 Supabase 云数据库项目作为远程 C2（命令与控制）开关。扩展在上架 Firefox 官方商店时完全处于“静默”状态——没有任何恶意代码——因此顺利通过了官方审核。一旦审核通过、用户安装之后，攻击者远程激活恶意逻辑，开始窃取用户输入的助记词和私钥。

3. 37 个“体育工具”外壳作为后援矩阵

除了 40 个直接窃密的恶意扩展，攻击者还准备了 37 个伪装成体育赛事比分查看、VPN、截图工具等无害功能的“外壳插件” 。这些外壳扩展并非直接用于窃密，而是作为储备后门与发布矩阵——一旦某个恶意扩展被下架，立即启用对应的外壳扩展顶上，确保攻击的持续性。

Socket 研究员 Kirill Boychenko 的技术分析揭示了 40 个恶意扩展的功能分布：

Part 02 - 为什么浏览器扩展成了“钱包刺客”的重灾区？

一句话概括：浏览器扩展拥有极高的权限，而用户往往在安装时忽略了这一点。

浏览器扩展在设计上拥有极高的上下文权限——包括tabs（读取所有打开的标签页）、webRequest（拦截和修改网络请求）、storage（读写本地存储数据）以及全部站点的 DOM 读写权限。

对于加密钱包用户而言，浏览器正是资金交互的第一入口。你在浏览器中输入助记词、连接钱包、签署交易——所有敏感操作都在浏览器中完成。而一个恶意扩展，可以轻松地：

• 读取你在任何网页上输入的内容：包括助记词、私钥、密码

• 拦截和修改网页内容：在真实的钱包页面上覆盖一层伪造的登录框

• 读取和修改剪贴板：当你复制钱包地址时，悄悄替换成黑客的地址

• 发送网络请求：将窃取的数据实时回传至攻击者服务器

一旦扩展被调包或投毒，任何多重认证（MFA）都形同虚设。因为恶意扩展绕过的不是你的账户密码，而是直接读取你的私钥本身。

Part 03 - 如何识别恶意扩展？四步自查法

一句话概括：不要等到资产被盗才后悔，现在就去检查你的浏览器扩展。

✅第一步：打开扩展管理页面

在Firefox中，在地址栏输入about:addons并回车，查看所有已安装的扩展列表。

✅第二步：逐一核查可疑扩展

重点关注以下几点：

• 非官方渠道安装的扩展：如果你不是从钱包官网直接跳转安装的，立即停用

• 名称异常的扩展：攻击者使用同形异义字（homoglyph）伪装成合法钱包名称，如用西里尔字母替换英文字母，肉眼难以分辨

• 功能无关的扩展：一个“体育比分查看”工具，为什么需要读取你的浏览器数据？

• 权限过高的扩展：一个简单的工具类扩展，申请了tabs、webRequest、storage等权限，属于高危信号

已确认的恶意扩展身份包括：“Safe-Themes”、“Rabbit For Desktop”、“Rabb-Walӏet CryptoPortfolio”等。

✅第三步：立即卸载并轮换凭证

如果发现可疑扩展，立即停用并卸载。如果曾在受影响的环境中输入过助记词或私钥，应当在干净的设备上将加密资产转移至全新地址。