MetaMaskやCoinbaseのような有名なウォレットアプリをクローンすることで、40以上の偽Firefoxウォレット拡張機能が暗号シードフレーズとIPを盗んでいる。

ハッカーが悪意のある拡張機能で暗号化ユーザーを狙う偽のウォレットがFirefoxストアに登場

ハッカーが本物に酷似した模倣アプリを使って攻撃を強化しているため、暗号通貨ユーザーはFirefoxに偽のウォレット拡張機能をインストールするよう誘い込まれている。

MetaMask、Coinbase Wallet、Trust Wallet、Phantom、Exodusなど、主要なウォレットブランドになりすました少なくとも40の詐欺的な拡張機能が確認されており、一部はまだ公式Firefoxアドオンストアでダウンロード可能だ。

この悪質なキャンペーンは2025年4月頃から行われており、サイバーセキュリティ企業であるKoi Securityは、ユーザーのシードフレーズを盗み、攻撃者が管理するサーバーにデータを送信するクローンが増加していることを指摘した。

削除の努力にもかかわらず、新たな偽アプリが出現し続けているため、この活動は衰える気配がない。

本物そっくりのアプリでユーザーを騙す偽財布の手口

攻撃者は、正規のウォレットプロジェクトのオープンソースコードを使用し、本物のアプリのように動作する拡張機能に独自の悪意のあるロジックを注入した。

ロゴ、ブランディング、そして財布の機能さえもコピーすることで、エクステンションは本物のように見え、ユーザーが詐欺と見破るのがはるかに難しくなった。

Koi Securityの分析では、これらの偽の拡張機能がインストールされると、すぐにウォレットの認証情報とユーザーのIPアドレスが抽出され、攻撃者のサーバーに送信されることが確認されました。

場合によっては、公式ツールに酷似しているため、拡張機能が長期間検出されないままだったこともあった。

ソース鯉セキュリティー

さらに、これらの悪質なアプリの多くは、何百もの偽の5つ星レビューで水増しされ、人気があり信頼できるように見せかけていた。

Koi氏によると、この戦略は、低評価やスパムフラグなどのシグナルに依存するMozillaの自動検出システムを、不正な拡張機能が通過するのを助けたという。

Firefoxは悪意のある拡張機能を削除するのに十分か？

Mozillaはこの事態について正式な声明を発表していない。

しかし、エクステンション・チームのブログにはこう書かれている：

"ウォレット拡張機能が一定のリスク閾値に達した場合、人間のレビュアーに警告が出され、より深く調査されます。悪意があると判断された場合、詐欺拡張機能は即座にブロックされます。"

こうした内部的な仕組みにもかかわらず、偽アプリは依然として根強い問題を抱えている。

偽の拡張機能の1つにそのブランドが偽装されていたOKXは、すでに1月に、Firefoxウォレットを公開したことはないとユーザーに警告していた。

同社は、不審なプラグインをインストールしているユーザーには資金を引き出すよう促し、Mozillaに正式な苦情を申し立てた。

暗号ウォレットを装った偽Firefox拡張機能（出典：日本経済新聞）：GitHub )

悪意のあるコードにロシア由来の手がかりが見つかる

鯉の調査は、攻撃の起源をロシア語を話す脅威グループに突き止めた。

証拠には、ロシア語で書かれたコード・コメントや、コマンド＆コントロール・サーバーの1つからのメタデータが含まれる。

攻撃者たちのインフラは依然として活発で、公式ストアから引き抜かれたにもかかわらず、いくつかのクローンが非公式サイトを通じてまだ配布されている。

SlowMist社を含む他の企業も警告を発し、攻撃はまだ生きているとユーザーに警告している。

同社は、特に情報源を確認せずにウォレットツールを検索したユーザーから「すでに多くの被害報告が寄せられている」と強調した。

広範な攻撃の波が押し寄せる中、暗号窃盗は2025年に22億ドルに達する

このキャンペーンは、暗号関連の侵害が急増している最中に実施された。

CertiKの最新レポートによると、2025年上半期だけで暗号通貨の損失総額は24億7000万ドルを超えた。

また、フィッシング詐欺による被害額は4億1000万ドルに上った。

イーサリアムは引き続き最大の標的となり、175件のインシデントで16億ドルの損失を被った。

2月にBybitがスマートコントラクトのエクスプロイトにより、15億ドル以上のETHとMegaETHを失い、今年最大の盗難が発生した。

ブラウザベースの攻撃だけでなく、詐欺師はハードウェアのウォレットも標的にしている。

中国ではDouyinを通じて偽のコールドウォレットを購入した被害者が700万ドルを失った。 (TikTokの本土版）には、既知の秘密鍵があらかじめ搭載されていた。

一方、macOSユーザーは、マルウェアを混入させたLedger Liveのクローンが何千もの危険なウェブサイトを通じて拡散している。

一部の攻撃者は物理的な郵便詐欺にまで手を染め、郵便サービスを通じてLedgerになりすました偽の手紙を送り、ユーザーを騙して悪意のあるQRコードをスキャンさせている。

洗練された暗号の脅威に規制は追いつくのか？

暗号の普及に伴い、リスクも高まっている。

最新のFirefoxウォレット詐欺は、単なる警鐘ではなく、攻撃者がほとんどのセキュリティ・フレームワークが対応できるよりも速く動いているというシグナルだ。

クローン化されたオープンソースツールの使用は、偽の社会的証明やシームレスなデザインと組み合わされ、攻撃者が信頼を武器にすることがいかに容易であるかを示している。

アプリストアや暗号プラットフォームが拡張機能の検証方法を見直さない限り、この種の侵害は継続的な脅威であり続けるだろう。