Uma investigação conduzida pela equipe de cibersegurança da empresa Socket identificou uma rede coordenada de 77 extensões criadas para o navegador Mozilla Firefox que atuam no roubo de carteiras digitais de criptomoedas e credenciais de acesso. O esquema opera, pelo menos, desde março e utiliza uma linha de produção em massa de softwares para enganar a moderação da loja oficial de complementos e atingir investidores do setor Web3.
Do total, 40 extensões tinham ferramentas diretas para roubar dados e desviar o dinheiro das vítimas. As outras 37 funcionavam como iscas: prometiam recursos básicos no computador, como geradores de senhas ou ferramentas de captura de tela, mas apenas exibiam placares de jogos. Essa estratégia servia para conseguir a aprovação na loja do Firefox sem levantar suspeitas, de acordo com os analistas. Uma vez liberados, os autores alteravam esses mesmos programas e incluíam os códigos do golpe por meio de atualizações.
Entre os alvos imitados pelos criminosos estavam nomes populares do ecossistema de criptoativos, como OKX, Rabby Wallet e TronLink. Os golpistas usavam técnicas visuais como a troca de letras por caracteres semelhantes, a exemplo do número zero no lugar da letra “O”, para fazer com que as extensões parecessem legítimas aos olhos dos usuários que navegavam pela loja do Firefox.
