Firefox 用户成为恶意钱包扩展程序的目标

Koi 安全公司的研究人员发现，有人正在通过 Firefox 浏览器传播恶意钱包扩展程序。这些恶意应用程序会模仿最常用的钱包，窃取用户的私钥，使用户面临资金被盗的风险。.

一场持续进行的恶意活动正在传播恶意扩展程序，这些程序会伪装成Firefox浏览器上一些最常见的加密货币钱包。Koi Security 发现 部分此类应用程序已被移除，但其他应用程序仍然活跃，伪装成合法的钱包。 

SlowMist攻击团队还警告用户保持警惕，因为攻击仍在进行中。这些虚假应用正在通过官方Firefox应用商店传播，这使得它们更具误导性和危险性。.

🚨SlowMist TI 警报🚨

者利用数十个虚假的 #Firefox 扩展程序窃取加密货币钱包dent正在进行中， 钱包 MetaMask、Coinbase Wallet、Trust Wallet、Phantom、OKX 等 pic.twitter.com/IIfE5ifxJi

— SlowMist (@SlowMist_Team) 2025年7月3日

这种攻击相对简单，但目标却是最容易上当受骗的用户，即那些只想随意接触加密货币的人。使用被入侵的应用程序，或者在其中输入私钥短语，都可能导致重大损失。目前已有用户报告称，他们 蒙受损失 因这些虚假应用程序而 

黑客攻击和漏洞利用活动 也随之加剧 2025年上半年，随着加密货币价值的上涨， 朝鲜黑客 渗透项目也构成威胁，数百个项目可能受到恶意代码的影响。 

Firefox 虚假扩展程序的目标是使用最广泛的钱包。

Koi 拦截了一些最常用钱包扩展程序的虚假应用程序，包括 Coinbase、MetaMask、Trust Wallet、Phantom、Exodus、OKX、Keplr、MyMonero、Bitget、Leap、 Ethereum Wallet 和 Filfox。. 

研究人员发现了超过40款伪装成电子钱包的应用程序，而且新的应用程序还在不断涌现。一些虚假钱包仍然可以通过非官方链接访问。据研究人员称，这些虚假应用程序大约从2025年4月开始传播。. 

这些扩展程序会trac并发送钱包扩展程序，最终到达攻击者控制的服务器。这些应用程序还会传输用户的 IP 地址，以便 trac和进一步的定向攻击。. 

攻击者克隆了合法钱包的开源代码

这种攻击相对简单，通常使用 MetaMask 等开源项目的合法钱包代码。然后，伪造的应用程序会注入恶意代码，使钱包能够窃取数据和dent。. 

这些假冒钱包应用已在应用商店上架，使用了与原钱包相同的徽标和风格。此前，假冒钱包的目标通常是特定的细分项目，但这一次，攻击者伪造了广泛用于 DeFi、交易、NFT 和其他链上任务的多资产钱包。. 

代码分析表明，此次攻击极有可能源自俄罗斯，因为在一些应用程序中发现了俄语代码注释。此外，其中一个命令与控制服务器上的文件元数据也指向了俄罗斯攻击者。.

Koi建议用户安装允许列表过滤器，避免下载未经审核的应用。有些应用可能不会立即出现问题，但之后可能会更新并改变其行为。安全研究人员也建议不要直接搜索应用，因为搜索结果可能指向故意刷高五星好评的虚假钱包。最佳方法是使用钱包的官方网站或社交媒体。. 

用户也被建议对那些拥有过多五星好评的应用程序保持怀疑，因为这些好评可能是人为发布的，目的是让应用程序看起来成熟可靠。.