تم زرع المكونات الإضافية للمتصفح التي أصدرتها Cyberhaven برموز برمجية ضارة، وتم مهاجمة العديد من المكونات الإضافية

أصدر مؤسس AabyssTeam تنبيهًا أمنيًا في كشف التحليل اللاحق للشفرة أن العديد من المكونات الإضافية للمتصفح قد تعرضت للهجوم، بما في ذلك Proxy SwitchyOmega (V3)، وما إلى ذلك. وقد أثرت هذه المكونات الإضافية على نصف مليون مستخدم في متجر Google وتمت ملاحظتها. أرسل مؤسس SlowMist، Yu Xian، تحذيره وقال إن هذا النوع من الهجوم يستخدم سلسلة هجوم OAuth2، وبعد الحصول على "أذونات نشر الامتدادات" لمطور "امتداد المتصفح المستهدف"، يطلق تحديث ملحق مكون إضافي مع باب خلفي. قد يتم تشغيل التحديثات تلقائيًا في كل مرة تقوم فيها بتشغيل المتصفح أو إعادة فتح الامتداد، مما يجعل من الصعب اكتشاف عمليات زرع الأبواب الخلفية. يتم تذكير ناشري امتدادات المحفظة بعدم الإهمال.