近日，网络安全研究人员曝光了一场涉及19款恶意浏览器扩展的 coordinated 攻击活动，这些扩展旨在窃取加密货币资金和用户敏感数据。根据安全公司 Socket 的报告，其中18款针对 Google Chrome，1款针对 Microsoft Edge，这些扩展要么是最近六个月内新发布的，要么是被植入恶意代码的。
据分析，该恶意活动可能最早可追溯至2024年2月。攻击者通过两种方式传播恶意扩展：一是直接创建14款虚假扩展，二是从合法开发者手中收购5款扩展后注入恶意代码。其中一款名为“Enable Right Click & Copy — Smart Unlock + OCR”的扩展被标记为最危险，其Chrome版本在恶意功能上线时约有7万用户，Edge版本约有1万用户。目前Chrome版已从网上应用店下架，但Edge版在报告发布时仍可访问。
这些恶意扩展配备了一个多链加密货币钱包盗取器，支持以太坊虚拟机（EVM）兼容链、Solana 和 Tron 网络。攻击者能够篡改合法的“连接钱包”和“交换”按钮，将用户引导至攻击者控制的交易流程。此外，恶意模块还针对硬件钱包用户，显示伪造的 Ledger 和 Trezor 恢复或更新页面，以捕获助记词。其他组件则从主流加密货币平台（如 Binance、Coinbase、Kraken、OKX、MEXC、KuCoin、Bybit 和 MetaMask）窃取已登录的会话和账户凭据。
该活动还包含劫持 Facebook 和 LinkedIn 账户、窃取浏览历史以及部署 ClickFix 式虚假浏览器更新页面的模块。安全专家建议用户定期检查已安装的浏览器扩展，移除任何可疑或不必要的插件；安装前仔细核验扩展的合法性，并关注钱包授权权限，以防止未经授权的访问。