Hơn 40 tiện ích mở rộng ví Firefox giả mạo đang đánh cắp cụm từ hạt giống tiền điện tử và IP bằng cách sao chép các ứng dụng ví nổi tiếng như MetaMask và Coinbase

Ví giả tràn ngập Firefox Store khi tin tặc nhắm mục tiêu vào người dùng tiền điện tử bằng tiện ích mở rộng độc hại

Người dùng tiền điện tử đang bị dụ cài đặt tiện ích mở rộng ví giả trên Firefox khi tin tặc tăng cường tấn công bằng các ứng dụng sao chép giống hệt ứng dụng thật.

Ít nhất 40 tiện ích mở rộng gian lận mạo danh các thương hiệu ví lớn—bao gồm MetaMask, Coinbase Wallet, Trust Wallet, Phantom và Exodus—đã được phát hiện, một số tiện ích vẫn có sẵn để tải xuống trong cửa hàng tiện ích bổ sung Firefox chính thức.

Chiến dịch độc hại này, hoạt động từ khoảng tháng 4 năm 2025, đã bị công ty an ninh mạng Koi Security vạch trần, công ty này đã báo cáo về số lượng ngày càng tăng các bản sao đánh cắp cụm từ hạt giống của người dùng và truyền dữ liệu đến các máy chủ do kẻ tấn công kiểm soát.

Hoạt động này không có dấu hiệu chậm lại, bất chấp những nỗ lực xóa bỏ, vì các ứng dụng giả mạo mới vẫn tiếp tục xuất hiện.

Ví giả đang lừa người dùng bằng các ứng dụng trông giống thật như thế nào

Kẻ tấn công đã sử dụng mã nguồn mở từ các dự án ví hợp pháp, đưa logic độc hại của riêng chúng vào các tiện ích mở rộng nhưng vẫn hoạt động giống như các ứng dụng chính hãng.

Bằng cách sao chép logo, thương hiệu và thậm chí cả chức năng ví, các tiện ích mở rộng này có vẻ giống thật, khiến người dùng khó phát hiện chúng là gian lận.

Phân tích của Koi Security xác nhận rằng sau khi cài đặt, các tiện ích mở rộng giả mạo này sẽ ngay lập tức trích xuất thông tin đăng nhập ví và địa chỉ IP của người dùng, sau đó gửi đến máy chủ của kẻ tấn công.

Trong một số trường hợp, các tiện ích mở rộng này không bị phát hiện trong thời gian dài do chúng rất giống với các công cụ chính thức.

Nguồn: Bảo mật Koi

Ngoài sự lừa đảo, nhiều ứng dụng độc hại này còn được thêm vào hàng trăm đánh giá năm sao giả mạo, tạo ra vẻ ngoài phổ biến và đáng tin cậy.

Theo Koi, chiến lược này đã giúp các tiện ích mở rộng gian lận vượt qua hệ thống phát hiện tự động của Mozilla, dựa trên các tín hiệu như xếp hạng thấp và cờ thư rác.

Firefox có đủ khả năng để loại bỏ các tiện ích mở rộng độc hại không?

Mozilla vẫn chưa đưa ra tuyên bố chính thức về tình hình này.

Tuy nhiên, một bài đăng trên blog từ nhóm mở rộng của công ty đã lưu ý:

“Nếu tiện ích mở rộng ví đạt đến ngưỡng rủi ro nhất định, người đánh giá sẽ được cảnh báo để xem xét kỹ hơn. Nếu phát hiện có độc hại, tiện ích mở rộng lừa đảo sẽ bị chặn ngay lập tức.”

Bất chấp những cơ chế nội tại này, các ứng dụng giả mạo vẫn là một vấn đề dai dẳng.

OKX, thương hiệu bị giả mạo trong một trong những tiện ích mở rộng giả mạo, đã cảnh báo người dùng vào tháng 1 rằng họ chưa bao giờ phát hành ví Firefox.

Công ty kêu gọi người dùng rút tiền nếu họ đã cài đặt bất kỳ plugin đáng ngờ nào và đã gửi khiếu nại chính thức tới Mozilla.

Tiện ích mở rộng Firefox giả mạo đóng vai trò là ví tiền điện tử (Nguồn:GitHub )

Manh mối có nguồn gốc từ Nga được tìm thấy trong mã độc

Cuộc điều tra của Koi đã truy ra nguồn gốc của vụ tấn công là một nhóm đe dọa nói tiếng Nga.

Bằng chứng bao gồm các chú thích mã được viết bằng tiếng Nga và siêu dữ liệu từ một trong các máy chủ chỉ huy và điều khiển.

Cơ sở hạ tầng của kẻ tấn công vẫn hoạt động, một số bản sao vẫn được phân phối qua các trang web không chính thức, mặc dù đã bị xóa khỏi các cửa hàng chính thức.

Các công ty khác, bao gồm SlowMist, cũng đã đưa ra cảnh báo, cảnh báo người dùng rằng cuộc tấn công vẫn đang diễn ra.

Công ty nhấn mạnh rằng “nhiều người dùng đã báo cáo bị mất”, đặc biệt là những người đã tìm kiếm công cụ ví mà không xác minh nguồn.

Trộm cắp tiền điện tử đạt 2,2 tỷ đô la vào năm 2025 trong bối cảnh làn sóng tấn công rộng lớn hơn

Chiến dịch này diễn ra trong bối cảnh các vụ vi phạm liên quan đến tiền điện tử đang gia tăng.

Báo cáo mới nhất của CertiK cho thấy tổng thiệt hại về tiền điện tử đã vượt quá 2,47 tỷ đô la chỉ riêng trong nửa đầu năm 2025.

Các cuộc tấn công vào ví đã gây ra thiệt hại khổng lồ lên tới 1,7 tỷ đô la trong 34 vụ việc, trong khi các vụ lừa đảo qua mạng gây ra thiệt hại thêm 410 triệu đô la.

Ethereum tiếp tục là mục tiêu hàng đầu, chịu thiệt hại 1,6 tỷ đô la trong 175 sự cố.

Vụ trộm lớn nhất trong năm xảy ra vào tháng 2 khi Bybit mất hơn 1,5 tỷ đô la ETH và MegaETH được đặt cược thanh khoản do khai thác hợp đồng thông minh.

Ngoài các cuộc tấn công dựa trên trình duyệt, kẻ lừa đảo còn nhắm vào ví phần cứng.

Ở Trung Quốc,một nạn nhân đã mất 7 triệu đô la sau khi mua một ví lạnh giả thông qua Douyin (Phiên bản TikTok dành cho thị trường đại lục), được tải sẵn các khóa riêng tư đã biết.

Trong khi đó, người dùng macOS đã bị tấn công bởi các bản sao Ledger Live chứa phần mềm độc hại phát tán qua hàng nghìn trang web bị xâm nhập.

Một số kẻ tấn công thậm chí còn dùng đến hình thức lừa đảo qua thư, gửi thư giả mạo Ledger qua dịch vụ bưu chính để lừa người dùng quét mã QR độc hại.

Liệu các quy định có bao giờ theo kịp các mối đe dọa tiền điện tử tinh vi không?

Khi việc áp dụng tiền điện tử ngày càng phổ biến, rủi ro cũng tăng theo.

Vụ lừa đảo ví Firefox mới nhất không chỉ là lời cảnh tỉnh mà còn là tín hiệu cho thấy kẻ tấn công đang hành động nhanh hơn khả năng phản ứng của hầu hết các khuôn khổ bảo mật.

Việc sử dụng các công cụ mã nguồn mở được sao chép, kết hợp với bằng chứng xã hội giả và thiết kế liền mạch, cho thấy kẻ tấn công có thể dễ dàng lợi dụng lòng tin như thế nào.

Trừ khi các cửa hàng ứng dụng và nền tảng tiền điện tử thay đổi cách xác minh tiện ích mở rộng, nếu không những loại vi phạm này sẽ vẫn là mối đe dọa liên tục—chỉ cần một bản cập nhật là có thể xóa sổ mọi thứ.