Gefährliche Firefox-Erweiterungen bedrohen Kryptowährungs-Wallets

LONDON (IT BOLTWISE) – Eine neue Bedrohung für Kryptowährungsnutzer ist aufgetaucht, da über 40 bösartige Firefox-Erweiterungen entdeckt wurden, die darauf abzielen, Wallet-Geheimnisse zu stehlen.

In der Welt der Kryptowährungen ist Sicherheit von größter Bedeutung, doch eine neue Bedrohung hat die Community in Alarmbereitschaft versetzt. Sicherheitsforscher haben über 40 bösartige Browsererweiterungen für Mozilla Firefox identifiziert, die speziell entwickelt wurden, um die Geheimnisse von Kryptowährungs-Wallets zu stehlen. Diese Erweiterungen geben sich als legitime Tools von bekannten Plattformen wie Coinbase, MetaMask und Trust Wallet aus, um das Vertrauen der Nutzer zu gewinnen.

Die Kampagne, die seit mindestens April 2025 läuft, hat es geschafft, neue Erweiterungen in den Firefox Add-ons Store hochzuladen, zuletzt noch in der vergangenen Woche. Eine der Strategien der Angreifer besteht darin, die Popularität der Erweiterungen künstlich zu erhöhen, indem sie hunderte von 5-Sterne-Bewertungen hinzufügen, die weit über die tatsächliche Anzahl aktiver Installationen hinausgehen. Dies soll den Anschein erwecken, dass die Erweiterungen weit verbreitet sind und ahnungslose Nutzer dazu verleiten, sie zu installieren.

Ein weiterer Trick der Angreifer ist es, die Add-ons als legitime Wallet-Tools auszugeben, indem sie dieselben Namen und Logos verwenden. Da einige der echten Erweiterungen Open Source sind, konnten die Angreifer deren Quellcode klonen und ihre eigene bösartige Funktionalität einfügen, um Wallet-Schlüssel und Seed-Phrasen von Zielwebsites zu extrahieren und an einen entfernten Server zu senden. Diese bösartigen Erweiterungen übermitteln auch die externen IP-Adressen der Opfer.

Im Gegensatz zu typischen Phishing-Betrügereien, die auf gefälschte Websites oder E-Mails setzen, operieren diese Erweiterungen innerhalb des Browsers des Nutzers, was sie schwerer zu erkennen oder mit traditionellen Endpoint-Tools zu blockieren macht. Diese einfache, aber wirkungsvolle Methode erlaubt es den Angreifern, die erwartete Benutzererfahrung aufrechtzuerhalten und gleichzeitig die Chancen einer sofortigen Entdeckung zu verringern.

Die Anwesenheit russischer Sprachkommentare im Quellcode sowie Metadaten aus einer PDF-Datei, die von einem Command-and-Control-Server (C2) abgerufen wurde, deuten auf eine russischsprachige Bedrohungsakteurgruppe hin. Alle identifizierten Add-ons mit Ausnahme der MyMonero Wallet wurden inzwischen von Mozilla entfernt. Der Browserhersteller hat kürzlich ein “Früherkennungssystem” entwickelt, um betrügerische Krypto-Wallet-Erweiterungen zu erkennen und zu blockieren, bevor sie bei den Nutzern an Popularität gewinnen und deren Vermögenswerte durch das Ausspähen ihrer Zugangsdaten gestohlen werden.

Um das Risiko solcher Bedrohungen zu minimieren, wird empfohlen, Erweiterungen nur von verifizierten Herausgebern zu installieren und sie zu überprüfen, um sicherzustellen, dass sie ihr Verhalten nach der Installation nicht stillschweigend ändern.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!