Firefox の Rabby を偽装する 13 種類の悪意のアドオン：ウォレットから機密情報を窃取

13 Malicious Rabby Firefox Extensions Steal Wallet Keyrings Before They Are Encrypted

2026/08/20 gbhackers — 大規模な Firefox アドオン・キャンペーンにより、Rabby Wallet を偽装する 13種類の悪意のアドオンが配布され、アプリケーションがウォレットのキーリング・データをローカルで暗号化する前に、そのデータを外部へ流出させている。この活動は、暫定的に “Offside Wallet Theft Factory” という名で追跡されている大規模なオペレーションの一部である。この作戦に関連付けられる 77種類の Firefox エクステンション ID により、クローン化されたコード／再利用されたインフラストラクチャ／欺瞞的な掲載情報／固定されたアドオン ID／バージョンの転用などが実行されている。

このキャンペーンは、遅くとも 2026年3月から活動しており、特定された77種類のエクステンションのうち 40 種類は悪意のあるものであると、Socket は確認している。その一方で、残る 37 種類は、無関係なユーティリティを装う欺瞞的なスポーツ・スコア用シェルだった。

最初に分析されたサンプルに記された Mozilla 署名記録は、3月9日〜8月3日の期間に及び、その活動は 4月と 7月下旬に集中していた。

キーリングを窃取するクラスターは、RABB-Wallet Web3 & EVM／Rabb-Wallet CryptoPortfolio／Rabbit For Desktop などに類似する名称を用いて Rabby を偽装している。複数のサンプルはホモグリフやスペル変更を用いて、認知度の高い Web3 ウォレット・ブランドの外観を維持しながら、目視による確認を回避している。

単純なフィッシング・エクステンションとは異なり、これらのビルドでは、Rabby 由来のウォレット・コードを改変し、その内部に窃取メカニズムを組み込んでいる。正規の Rabby Wallet コードは、ウォレットのキーリングをシリアライズし、生成されたデータを暗号化した後に、ローカルへ保存する。

窃取されたデータは "ping" という JSON フィールドに格納され、"gemachriverdale[.]org"／"e-wl[.]com" に関連するインフラ上の、個別にハードコードされた Webhook パスへ送信される。

データ収集エンドポイントはポート "9000" 上で平文 HTTP を使用し、繰り返し現れる "/hook/" パス構造を採用している。そのため、防御側はネットワーク・ハンティングで活用するためのインフラ・パターンを取得できる。

この実装は、ウォレットのローカル暗号化による保護を無効化する。シリアライズされたキーリングの状態がデバイス外へ送信された時点で、その後に実施される正規ウォレットによる暗号化／保存プロセスは意味をなさなくなる。

その後に、悪意のエクステンションは通常の永続化フローを継続させ、想定されたウォレットの挙動を維持し、侵害の兆候を隠し続ける。

Representative attack flow for the confirmed malicious extensions
確認された悪意のエクステンションにおける代表的な攻撃フロー
(画像出典：Socket)。

Socket が、いくつかのパッケージを比較した結果、Rabby 由来のサンプル間で広範なコード再利用が確認された。そして、13種類の悪意の亜種が "persistAllKeyrings()" ワークフローを改変し、暗号化ルーチンが実行される前に、攻撃者が制御するインフラへ向けてシリアライズされたキーリング配列を送信していることが確認された。

Socket Threat Research チームは、77種類の Firefox エクステンション ID を追跡している。それらの関連性は、コードの再利用／クローン化されたエクステンション／欺瞞的なマーケットプレイス説明／作成者が選択したアドオン ID パターンおよびドメイン風サフィックス／暗号資産ウォレットの偽装を通じて裏付けられている。

また、8 種類の亜種においては、既知の悪意の参照サンプルと、バイト単位でほぼ一致していることが明らかにされた。主な変更点は "background.js" に集中しており、攻撃者は同一のキーリング窃取ロジックを維持しながら、ハードコードされた流出先エンドポイントを切り替えていた。

13種類の悪意の Rabby Firefox エクステンション

過去の Firefox パッケージ記録で判明したのは、このキャンペーンにおける段階的な展開である。当初、7 種類のエクステンション ID は、バスケットボール／NBA／アメリカン・フットボールのスコア・アプリケーションとして公開されていた。その後のアップデートにより、同じ Firefox ID がキーリングを窃取するウォレット・エクステンションへ転用された。

さらに別の 1 種類は、無害に見えるユーティリティから、同じ Rabby 由来のマルウェア・ファミリーへと移行していた。

The 0KX WEB3 listing was live during our analysis and presented the extension as a cryptocurrency wallet for managing assets
分析時点で 0KX WEB3 の掲載ページは公開されており、資産管理用の暗号資産ウォレットとして、このエクステンションが紹介されていた
(画像出典：Socket)

この履歴において重要なことは、無害に見えるアドオン ID を確立した攻撃者が、その後のアップデートを通じて攻撃用に転用する可能性を示している点にある。

したがって、エクステンションのセキュリティ・レビューでは、現在の名称／ストア上の説明／権限設定だけを評価するのではなく、アップデートの系譜／パッケージの類似性／リモート依存関係／公開者に関連するアーティファクトも評価すべきことが示されている。

より広範なキャンペーンでは、Supabase で制御される 7 種類のフィッシング・ローダー／Cloudflare Workers を介してリカバリー・フレーズまたは秘密鍵を窃取する 15 種類のエクステンション／ハードコードされた C2 インフラストラクチャを使用してクレデンシャルとクリップボード・データを収集する 5 種類のエクステンションも検出されている。

偽造エクステンションの 1 つである 0KX WEB3 は、OKX ウォレットを装いながら、実際にはリモート制御されるフィッシング配信メカニズムとして機能し、ローカルのメモ帳を隠れ蓑として悪用していた。

Socket AI Scanner flags the malicious 3ABBY- Browser Extension and surfaces its broad browser and wildcard host permissions
Socket AI Scanner は、悪意の 3ABBY- Browser Extension を検出し、その広範なブラウザ権限／ワイルドカード・ホスト権限を示している
(画像出典：Socket)

この悪意のオペレーションで使用されたスポーツ・スコア用シェルは、共有された API-Sports クレデンシャルを使用する一方で、VPN アクセス／ダーク・モード／パスワード生成／スクリーンショット／通貨換算などの無関係な機能を宣伝していた。

分析された 37 種類のスポーツ・シェル・ビルドでは、窃取用ペイロードは確認されていない。しかし、その欺瞞的な機能と、後のウォレット・マルウェアへ直接つながるバージョン履歴は、これらが公開パイプラインにおけるステージング用アセットとして機能する可能性を示している。

ユーザーに求められるのは、ウォレット・プロバイダーの公式 Web サイトに掲載されたリンクからのみウォレット・エクステンションを入手し、露出したリカバリー・フレーズ／秘密鍵／ウォレット状態については、恒久的に侵害されたものとして扱うことである。

Mozilla によると、悪意のウォレット・アドオンを特定するために、自動化されたリスク指標と人によるレビューを使用しているという。ただし、ユーザーに推奨されるのは、エクステンションがウォレット・プロバイダーから正式に承認されているかどうかを自身で確認することである。

防御側にとって価値の高いシグナルには、"persistAllKeyrings()" の変更／ポート "9000" へのアウトバウンド平文トラフィック／"/hook/" Webhook パターン／Rabby コードの再利用／ホモグリフを使用したウォレット・ブランド表記／再利用された Firefox ID／ユーティリティやスポーツ・スコア機能からウォレット関連コードへの突然の移行が含まれる。

IOC
Firefox Extension IDObserved Display NameVersionSHA-256
bliss-heaven@webbrol.comSafe-Themes – Browser Extension8.12.1308b7b064fa9a41b06774315d944ffddff705ab727222a0c3bcac64a77553bf2f
bold-page-vault@addonslab.examplePortal7.9.174d0912d575087dab5f468214a2fd259bc386472a8b2b93b6e2441cde4bd941cb
bright-save-feed@tabtools.orgRabbit For Desktop8.20.1026427220b9965e22deca0e617657c2c65b78f750183355d1265c147818367bd7

注：IP アドレスおよびドメインは、偶発的な名前解決やハイパーリンク化を防止するため、意図的にデファングされている (例："[.]")。リファングは、MISP／VirusTotal／SIEM など、制御された脅威インテリジェンス・プラットフォーム内でのみ実施すること。

Firefox 上で偽装アドオンを用いる、暗号資産ウォレット攻撃キャンペーンに関する動向を解説する記事です。無害な拡張機能として公開されたマルウェアが、暗号化処理前のデータ窃取などに転用される手法が明らかにされました。この問題により、Rabby Wallet などの秘密鍵やキーリング情報の流出／保有資産の不正送金といった被害が生じる恐れがあります。対応策として、公式ストアや公式サイト経由での入手／機能の急激な変更履歴の確認／流出した恐れのあるクレデンシャルの恒久的な破棄と再作成が求められます。