เตือน 16 Firefox Extension ปลอม ขโมย Recovery Phrase กระเป๋าคริปโต

นักวิจัยด้านความปลอดภัยทางไซเบอร์ตรวจพบกลุ่ม Extension บน Mozilla Firefox จำนวน 16 รายการ ที่สามารถขโมย recovery phrase ของกระเป๋าเงินคริปโตและ private key ได้

Joseph Edwards นักวิจัยจาก Socket กล่าว ในการวิเคราะห์ว่า Extension เหล่านี้ปลอมแปลงเป็นพอร์ทัลกระเป๋าเงินและเครื่องมือบนเบราว์เซอร์ โดยโค้ดจะดักจับ recovery phrase และ private key ระหว่างขั้นตอนการนำเข้ากระเป๋าเงิน (wallet import flows) เพื่อส่งข้อมูลไปยัง Cloudflare Workers ที่ควบคุมโดยผู้โจมตี

รายชื่อของ Extension ทั้งหมดมีดังนี้:

ในจำนวนนี้มี 4 รายการที่โคลน Rabby Wallet ส่วนที่เหลือพุ่งเป้าไปที่ OKX Wallet โดยเกือบทั้งหมดมีการติดต่อกับโดเมน *.icy-star-f45c.workers[.]dev เพื่อรวบรวม mnemonic phrase และ private key ส่งออกไปยัง Cloudflare Workers

กิจกรรมนี้ถือเป็นความต่อเนื่องจาก ระลอกก่อนหน้า เมื่อเดือนสิงหาคม 2026 โดยผู้ไม่หวังดีได้หมุนเวียนชื่อแพ็กเกจและ ID ของส่วนขยายใหม่ แต่ยังคงใช้ UI ของกระเป๋าเงินเดิมและโครงสร้างพื้นฐานเครือข่ายชุดเดิมในการโจมตี

ณ วันที่ 5 ตุลาคม 2026 Extension ทั้งหมดถูกนำออกจากระบบแล้ว หากผู้ใช้รายใดติดตั้งและใส่ข้อมูลลับลงไปแล้ว ควรเปลี่ยนไปใช้กระเป๋าเงินใหม่บนระบบที่สะอาดและโอนย้ายสินทรัพย์ออกทันที เนื่องจากข้อมูลเหล่านั้นถือว่าถูกบุกรุกแล้ว

การค้นพบนี้สอดคล้องกับภัยคุกคามจาก Extension อันตรายในช่วงไม่กี่เดือนที่ผ่านมา เช่น:

Firefox Extension ชื่อ "ID- Pay" ที่ปลอมเป็นตัวเปิดไฟล์ PDF แต่แอบขโมย session cookies ของ Google
กลุ่ม Extension อันตราย 32 รายการ บน Chrome และ Edge ที่แอบดึงข้อมูลและเปลี่ยนเส้นทาง URL ของผู้ใช้
Extension ภาษารัสเซีย 31 รายการ ที่อ้างว่าเป็น VPN สำหรับเข้าถึง AI และโซเชียลมีเดียที่ถูกบล็อก แต่แอบดักจับทราฟฟิกผ่านพร็อกซี
Extension ชื่อ "Stylish" และ "Urban VPN" ที่ถูกพบว่าดักจับการสนทนาของ AI chatbot และข้อมูลการท่องเว็บ

ผู้เชี่ยวชาญแนะนำให้ผู้ใช้ตรวจสอบและลบ Extension ที่ไม่จำเป็นออก ส่วนองค์กรควรตรวจสอบการใช้งานภายในสภาพแวดล้อมที่มีการจัดการ และติดตั้งเทคโนโลยีตรวจสอบพฤติกรรมของส่วนขยายเพื่อป้องกันกิจกรรมที่น่าสงสัย

ความคิดเห็น (0)