Abertura
Em um alerta divulgado recentemente, especialistas em segurança revelaram a presença de 16 extensões maliciosas para Mozilla Firefox que se disfarçam como portais de carteiras, utilitários de desktop e ferramentas de navegador, com o objetivo de roubar frases de recuperação e chaves privadas de criptomoedas. As extensões, que imitam serviços legítimos como Rabby e OKX, interceptam os dados sensíveis durante fluxos de importação de carteira e tentam enviá‑los a servidores controlados pelos criminosos.
Contexto
Nos últimos anos, o ecossistema de extensões de navegadores tem sido alvo frequente de campanhas de software malicioso, devido à ampla superfície de ataque e à confiança que os usuários depositam nesses complementos. A pesquisa, conduzida por um time de analistas de segurança, analisou milhares de extensões disponíveis nos repositórios oficiais e identificou um conjunto específico que apresenta comportamento de coleta de credenciais criptográficas. Os autores apontam que a escolha do Firefox como vetor se deve à sua popularidade entre usuários que buscam privacidade e ao modelo de permissões que, em alguns casos, permite acesso a dados inseridos em formulários.
Impacto
Até o momento, não há relatos de vítimas confirmadas, mas a potencial escala do ataque é significativa, considerando que milhares de usuários podem ter instalado as extensões sem perceber o risco. Caso as frases de recuperação sejam comprometidas, os invasores podem restaurar carteiras em dispositivos diferentes, obtendo controle total sobre os ativos digitais. Organizações que gerenciam fundos de criptomoedas ou oferecem serviços de custódia também podem ser alvos indiretos, caso seus funcionários utilizem o navegador com as extensões instaladas.
Detalhes técnicos
Do ponto de vista técnico, o código das extensões monitora eventos de entrada em campos de texto associados a processos de importação de carteira. Quando o usuário insere a frase de recuperação ou a chave privada, o script captura o valor antes que ele seja enviado ao servidor legítimo da carteira. Em seguida, o dado é encaminhado por meio de requisições HTTP POST para endereços IP que pertencem a infraestruturas de comando e controle dos atacantes. As extensões ainda empregam técnicas de ofuscação para dificultar a análise estática, como a concatenação de strings e a utilização de funções de criptografia leve para esconder os parâmetros de rede. Não foram identificados CVEs associados, pois o problema reside na distribuição de software malicioso e não em vulnerabilidades do próprio navegador.
Encerramento
Para mitigar o risco, especialistas recomendam que usuários revisem periodicamente a lista de extensões instaladas, removendo aquelas que não são essenciais ou que não provêm de fontes verificadas. Desenvolvedores de navegadores são incentivados a reforçar os processos de revisão de extensões e a implementar alertas mais claros quando um complemento solicita permissões de acesso a dados sensíveis. A fonte original da descoberta foi o portal The Hacker News, que divulgou o relatório detalhado das análises realizadas pelos pesquisadores.