พบเอ็กซ์เทนชัน Firefox อันตราย 16 ตัวปลอมเป็นกระเป๋า Rabby และ OKX — ดัก recovery phrase และ private key ตอนนำเข้ากระเป๋า ส่งออกไป Cloudflare Workers

สรุปสั้น

นักวิจัยจากบริษัท Socket ค้นพบเอ็กซ์เทนชัน Mozilla Firefox อันตราย 16 ตัวที่ขโมย recovery phrase (mnemonic) และ private key ของกระเป๋าคริปโต เอ็กซ์เทนชันเหล่านี้ปลอมตัวเป็นพอร์ทัลกระเป๋า ยูทิลิตีบนเดสก์ท็อป และเครื่องมือเบราว์เซอร์ โดย 4 ตัวเป็นร่างโคลนของ Rabby Wallet ที่ตั้งชื่อหลอกตาว่า “Raabby WaIIet” ส่วนอีก 12 ตัวเป็นร่างโคลนที่เลียนแบบหน้าตา OKX Wallet โค้ดจะดักจับความลับระหว่างขั้นตอนนำเข้ากระเป๋า แล้วส่งไปยัง Cloudflare Workers ที่ผู้โจมตีควบคุม ขณะที่ manifest ของทุกตัวประกาศว่าไม่เก็บข้อมูลใด ๆ ซึ่งขัดกับพฤติกรรมจริง

Socket ประเมินด้วยความมั่นใจสูงว่าแคมเปญนี้เป็นความต่อเนื่องของระลอกที่บริษัทเคยรายงานในเดือนสิงหาคม 2569 ผู้โจมตีเปลี่ยนชื่อแพ็กเกจ เวอร์ชัน ID เอ็กซ์เทนชัน คำอธิบาย และหน้าตาไปเรื่อย ๆ แต่ใช้หน้าจอกระเป๋า ตรรกะจัดการ credential และโครงสร้างเครือข่ายชุดเดิม ซึ่ง Socket สรุปว่ามีระบบ builder สร้างร่างแปลงอัตโนมัติ ณ วันที่ 5 ตุลาคม 2569 Mozilla ถอดเอ็กซ์เทนชันทั้งหมดออกแล้ว แต่ผู้ที่เคยกรอก seed phrase หรือ private key จริงลงไปต้องถือว่ากระเป๋าถูกเจาะ และย้ายทรัพย์สินไปยังกระเป๋าใหม่ที่สร้างจากเครื่องที่สะอาด

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 8 ตุลาคม 2569 อ้างรายงานของ Socket ที่เขียนโดยนาย Joseph Edwards ซึ่งเผยแพร่เมื่อวันที่ 7 ตุลาคม ว่า “เอ็กซ์เทนชันเหล่านี้ปลอมเป็นพอร์ทัลกระเป๋า ยูทิลิตีเดสก์ท็อป และเครื่องมือเบราว์เซอร์ แต่โค้ดของมันดักจับ recovery phrase และ private key ระหว่างขั้นตอนนำเข้ากระเป๋า แล้วพยายามส่งความลับเหล่านั้นไปยัง Cloudflare Workers ที่ผู้โจมตีควบคุม” เอ็กซ์เทนชัน 15 จาก 16 ตัวติดต่อโดเมนใต้ icy-star-f45c.workers[.]dev ทั้งหมดใช้ตัวระบุแคมเปญ EQOx7EIPZSNi เดียวกัน ซึ่งเคยพบในงานวิจัยก่อนหน้าของ Socket

ข่าวนี้ออกมาพร้อมกับการค้นพบเอ็กซ์เทนชันอันตรายหรือน่าสงสัยอีกหลายกลุ่มบน Firefox, Chrome และ Edge ในช่วงหลายเดือนที่ผ่านมา เช่น เอ็กซ์เทนชัน Firefox ชื่อ “ID- Pay” ที่ปลอมเป็นเครื่องมือยืนยันตัวตนก่อนเปิด PDF แต่ inject JavaScript เข้าโดเมน accounts.google[.]com เพื่อขโมย session cookie กลุ่มเอ็กซ์เทนชัน 32 ตัวบน Chrome Web Store และ Edge Add-ons ที่สลับแท็บไปยัง URL ที่กำหนดจากคอนฟิกระยะไกล ซึ่งโยงกับผู้โจมตีที่ใช้ภาษาเกาหลี กลุ่มราว 30 ตัวที่แอบอ้างชื่อบุคคลดังในวงการการเงินเพื่อพาเหยื่อไปหน้าฟิชชิงกระเป๋าคริปโต และกลุ่ม 31 ตัวภาษารัสเซียที่โฆษณาเป็น VPN สำหรับบริการที่ถูกบล็อกในรัสเซียแต่ส่งทราฟฟิกผ่าน proxy ที่ดึงรายชื่อเซิร์ฟเวอร์จาก GitHub Pages รวมถึงเอ็กซ์เทนชัน Stylish และ Poper Blocker บน Chrome ที่ถูกพบว่าเก็บบทสนทนากับแชตบอต AI

วิธีการโจมตี

ร่างโคลน Rabby

ใน background.js มีฟังก์ชัน self._lv ที่รับ phrase 12 คำ 24 คำ หรือ private key แบบ hex 64 ตัวอักษร ตัดค่าซ้ำ เข้ารหัส URL แล้วส่งไปยัง Worker การเรียกฟังก์ชันนี้ถูกแทรกไว้หลังการทำงานจริงของกระเป๋า เช่น การนำเข้า private key และการสร้าง mnemonic keyring ทำให้กระเป๋ายังใช้งานได้ปกติและผู้ใช้ไม่ทันสังเกต ยังมีฟังก์ชันช่วยอีกตัวใน 977.js ที่ถูกคัดลอกไปไว้ในเส้นทางนำเข้าของ UI หลายจุด ความลับหนึ่งค่าจึงอาจถูกส่งออกหลายครั้ง การส่งใช้ HTTPS GET แบบ no-cors และ keepalive ไปยัง silent-wind-get.icy-star-f45c.workers[.]dev โดยใส่ความลับดิบไว้ในพารามิเตอร์ w ของ query string และสำรองด้วย XMLHttpRequest หาก fetch ล้มเหลว ซึ่ง Socket ชี้ว่าทำให้ความลับไปปรากฏในล็อกของเซิร์ฟเวอร์และตัวกลางระหว่างทางด้วย

ร่างโคลน OKX

หน้าจอขอ recovery phrase จากผู้ใช้แล้วส่งไปยัง background script ในข้อความ SEED_PHRASE_IMPORT ซึ่งยังรับข้อความแบบเก่า WALLET_SYNC ด้วย โดยบังคับให้มี 12 หรือ 24 คำพอดี แล้วส่ง JSON ที่มี phrase ดิบในฟิลด์ w ด้วย HTTPS POST ไปยัง Worker 3 โฮสต์ สคริปต์หนึ่งใช้ช่องทางส่งออกถึง 3 แบบ คือ navigator.sendBeacon, fetch แบบ no-cors และ GET ผ่านรูปภาพพิกเซลเป็นทางสำรอง ร่างแปลงตัวหนึ่งมีคอมเมนต์ในโค้ดอ้างว่าส่งไปเพียงแฮชและจำนวนคำ แต่โค้ดจริงส่ง phrase ดิบ ซึ่ง Socket มองว่าเป็นการปกปิดโดยเจตนา ส่วนตัว sipoo-grozza ใช้งานไม่ได้เพราะ manifest ไม่ได้ประกาศ background.js แต่ Socket ย้ำว่าเป็นความผิดพลาดในการส่งมอบ ไม่ใช่หลักฐานว่าไม่เป็นอันตราย รายงานของ Socket ยังระบุจำนวนร่างโคลน OKX ไม่ตรงกันในสองจุด คือ 12 ตัวและ 10 ตัวอย่าง Web3 Portal

ผลกระทบ

recovery phrase หรือ private key ที่หลุดไปแล้วคือการเสียสิทธิ์ควบคุมกระเป๋าอย่างถาวร การเปลี่ยนรหัสผ่านของเอ็กซ์เทนชันไม่ช่วยอะไร เพราะ seed phrase ยังใช้กู้กระเป๋าได้ทุกที่ ทุกบัญชีที่ derive มาจาก mnemonic เดียวกันจึงต้องถือว่าถูกเจาะทั้งหมด ความเสี่ยงยังกระจายไปถึงทุกโปรไฟล์ Firefox และอุปกรณ์ที่ซิงก์เอ็กซ์เทนชันไว้

ในภาพรวม การที่ผู้โจมตีใช้ builder สร้างร่างแปลงใหม่ได้เร็วทำให้การถอดเอ็กซ์เทนชันทีละรอบเป็นเพียงการไล่ตาม และการตรวจรีวิวของร้านเอ็กซ์เทนชันยังไม่เพียงพอจะจับเอ็กซ์เทนชันที่โค้ดหลักเหมือนเดิมแต่เปลี่ยนเปลือกนอก ประกอบกับกระแสเอ็กซ์เทนชันที่เก็บบทสนทนา AI และส่งทราฟฟิกผ่าน proxy เอ็กซ์เทนชันเบราว์เซอร์จึงเป็นพื้นผิวการโจมตีที่องค์กรควรบริหารจัดการเหมือนซอฟต์แวร์ที่ติดตั้งบนเครื่อง

คำแนะนำ

• ผู้ใช้ที่ติดตั้งเอ็กซ์เทนชันในรายการ ให้ลบออกจากทุกโปรไฟล์ Firefox และทุกอุปกรณ์ที่ซิงก์ไว้
• หากเคยกรอก seed phrase หรือ private key จริง ให้สร้างกระเป๋าใหม่ด้วย recovery phrase ใหม่บนเครื่องที่สะอาด ย้ายทรัพย์สินออก และเพิกถอน token approval ของกระเป๋าเดิม
• ติดตั้งกระเป๋าคริปโตจากลิงก์บนเว็บไซต์ทางการของผู้ให้บริการเท่านั้น และตรวจชื่อผู้พัฒนาให้ตรงก่อนติดตั้ง
• องค์กรควรใช้นโยบาย allowlist เอ็กซ์เทนชันผ่าน enterprise policy ของ Firefox/Chrome/Edge บล็อก ID และแฮช XPI ที่ระบุ และค้นคลังเอ็กซ์เทนชันหาแฮช background.js และสตริง EQOx7EIPZSNi, Raabby WaIIet, SEED_PHRASE_IMPORT, WALLET_SYNC
• ค้นล็อก proxy/DNS หาโฮสต์ Worker ในตาราง IoC โดยปิดบังค่าในฟิลด์ w เพราะเป็น seed phrase ของเหยื่อ ห้ามคัดลอกลงบันทึกเคสหรือการแจ้งเตือน และห้ามรันเอ็กซ์เทนชันบนเครื่องของนักวิเคราะห์

Indicators of Compromise (IoCs)

โดเมนทั้งหมด defang แล้ว ([.]) ก่อนใช้งานต้องแปลงกลับ

โฮสต์ปลายทาง (Cloudflare Workers)

เอ็กซ์เทนชัน (ID@เวอร์ชัน · XPI SHA-256)

ไฟล์ background.js (SHA-256)

แหล่งอ้างอิง

• Socket — Firefox crypto wallet stealers
• The Hacker News — 16 Malicious Firefox Extensions Pose as Rabby and OKX Wallets to Steal Recovery Phrases
• Akamai — When productivity extensions become attack platforms