De waarschuwing van Socket van 19 augustus 2026 rond Firefox-extensies raakt niet alleen gebruikers die achteloos een wallet-plug-in installeren. Het dossier laat zien hoe dun de lijn is tussen een vertrouwde browserlaag en een plek waar seed phrases, private keys en klembordinhoud worden afgevangen.
| Wat je moet weten |
|---|
| 1Socket koppelde 77 Firefox-extensies aan dezelfde campagne, waarvan 40 kwaadaardig waren. |
| 2De walletklonen mikten op recovery phrases, private keys, keyrings en klembordinhoud. |
| 3Mozilla kreeg een live-extensierapport en verwijderde de gemelde items. |
| 4Open blijft hoeveel gebruikers daadwerkelijk seed phrases of private keys hebben ingevoerd. |
Socket beschreef op 19 augustus 2026 een campagne met 77 gelinkte Firefox-extensies, waarvan 40 kwaadaardig waren. Onzeker blijft hoeveel gebruikers daadwerkelijk seed phrases of private keys hebben ingevoerd, maar Mozilla kreeg een live-extensierapport en verwijderde de gemelde items. Voor walletgebruikers is vooral de browserlaag relevant, omdat een nep-extensie invoer kan onderscheppen voordat een transactie zichtbaar wordt.
Onderzoekers van Socket beschreven op 19 augustus 2026 een campagne met 77 gelinkte Firefox-extensies. Daarvan waren er 40 kwaadaardig en 37 misleidende sportscore-extensies die de infrastructuur en reputatie van de groep moesten voeden. De activiteit liep volgens de onderzoekers ten minste van maart tot en met augustus 2026. In de walletgroep zaten imitaties van onder meer OKX, Rabby Wallet en TronLink.
Waarom juist Firefox-extensies gevoelig zijn
Een browserextensie voelt vaak minder riskant dan een nieuw walletprogramma, omdat de installatie binnen een bekende browser gebeurt. Dat vertrouwen is precies de hefboom. Socket beschrijft zeven Supabase-instanties als externe schakelaars en Cloudflare Workers als exfiltratiepad. Vijftien extensies waren gericht op recovery phrases en private keys. Dertien aangepaste Rabby-builds kopieerden keyrings nog voordat versleuteling plaatsvond.
Voor Nederlandse cryptogebruikers is de les concreet: de naam van een wallet in de extensiewinkel is geen bewijs. Controleer de uitgever, de officiële downloadroute van het project, het aantal versies en recente reviews. Wie een seed phrase in een browserextensie zet, moet ervan uitgaan dat een kwaadaardige build direct volledige toegang krijgt tot de wallet.
Van sportscore naar walletfraude
Het opvallendste detail is de combinatie met sportscore-extensies. Die lijken niet direct met crypto verbonden, maar kunnen volgens Socket dienen om ontwikkelaarsaccounts, publicatiegeschiedenis en gebruikersvertrouwen op te bouwen. De onderzoekers koppelden negen kwaadaardige extensie-ID’s aan eerdere sportscore-varianten. Dat maakt de campagne minder zichtbaar dan een losse nepwallet die meteen na plaatsing wordt verwijderd.
Mozilla kreeg een live-extensierapport en verwijderde de gemelde items, melden Socket en latere berichtgeving. Daarmee is het incident niet automatisch voorbij. De infrastructuur achter zulke extensies kan verhuizen, terwijl gelekte seed phrases niet terug te draaien zijn. De sterkste verdedigingslijn blijft daarom buiten de browser: hardwarematige ondertekening voor grotere bedragen, nieuwe seed phrases na twijfel en geen herstelzin invoeren buiten de officiële walletcontext.
Wat Socket zeker maakt en wat openblijft
Het rapport maakt vooral de technische overlap zeker: dezelfde families van code, schakelaars en exfiltratiepaden komen terug in de wallet- en sportscore-extensies. Open blijft hoeveel gebruikers daadwerkelijk seed phrases of private keys hebben ingevoerd. Juist daarom is het verstandig om verdachte extensies te verwijderen en herstelzinnen te vervangen bij drie signalen: een onbekende uitgever, installatie buiten de officiële walletsite of contact met een van de 15 recovery-phrasegerichte extensies.
Bronnen: Socket Research, The Hacker News en Decrypt.
