كشفت أبحاث حديثة في مجال الأمن السيبراني عن حملة خبيثة استهدفت مستخدمي متصفح فايرفوكس عبر 16 إضافة مزيفة صُممت لانتحال هوية محافظ العملات الرقمية الشهيرة، وعلى رأسها Rabby Wallet وOKX Wallet، بهدف سرقة عبارات الاسترداد والمفاتيح الخاصة الخاصة بالمستخدمين، وهي البيانات التي تتيح للمهاجمين السيطرة الكاملة على الأصول الرقمية الموجودة داخل المحافظ.
وأفاد باحثون من شركة Socket المتخصصة في أمن البرمجيات بأن هذه الإضافات لم تكن مجرد أدوات مزيفة عادية، بل جرى تطويرها بعناية لتبدو وكأنها بوابات رسمية أو أدوات متعلقة بالمحافظ الرقمية وبرامج سطح المكتب وأدوات المتصفح، ما يمنحها درجة عالية من المصداقية لدى الضحايا.
كيف نفذت إضافات فايرفوكس المزيفة عملية سرقة المحافظ؟
بحسب التحليل الأمني، كانت الإضافات الخبيثة تتدخل مباشرة أثناء عملية استيراد المحافظ الرقمية. وعندما يقوم المستخدم بإدخال عبارة الاسترداد أو المفتاح الخاص لاستعادة محفظته، تقوم الإضافة باعتراض تلك البيانات الحساسة وإرسالها سراً إلى بنية تحتية يتحكم بها المهاجمون.
واستخدم المهاجمون خدمة Cloudflare Workers كوسيلة لاستقبال البيانات المسروقة، حيث تواصلت جميع الإضافات المكتشفة تقريباً مع نطاقات مرتبطة بهذه الخدمة. ويهدف هذا الأسلوب إلى جمع العبارات السرية والمفاتيح الخاصة ثم نقلها إلى الخوادم التي يديرها المهاجمون، ما يسمح لهم لاحقاً بالوصول إلى المحافظ وسرقة محتوياتها.
وتضمنت الحملة 16 إضافة مختلفة الأسماء والهويات، في محاولة للتهرب من أنظمة الكشف وإطالة فترة بقائها داخل متجر إضافات فايرفوكس. وأظهرت التحقيقات أن أربعاً من هذه الإضافات كانت نسخاً مزيفة من محفظة Rabby Wallet، بينما انتحلت البقية هوية محفظة OKX Wallet الشهيرة في عالم العملات المشفرة.
حملة متطورة تعتمد على تغيير الهويات الرقمية
يرى الباحثون أن هذه العملية تمثل امتداداً لحملة مشابهة تم رصدها خلال أغسطس 2026، ما يشير إلى استمرار نشاط المجموعة المسؤولة عن تطوير هذه البرمجيات الخبيثة.
وتعتمد الجهة المهاجمة على استراتيجية متقدمة تقوم على تغيير أسماء الحزم البرمجية وأرقام الإصدارات ومعرفات الإضافات والوصف الظاهري والعناصر التصميمية الخاصة بها، مع الإبقاء على نفس واجهات المحافظ المزيفة وآليات التعامل مع بيانات الاعتماد والبنية التحتية المستخدمة لإرسال المعلومات المسروقة.
ويؤكد هذا الأسلوب أن المهاجمين لا يحتاجون في كل مرة إلى تطوير برمجيات جديدة بالكامل، بل يعيدون تدوير المكونات الأساسية للحملة مع تعديلات شكلية تجعل اكتشافها أكثر صعوبة أمام المستخدمين وبعض أنظمة الفحص الآلية.
وحتى الخامس من أكتوبر 2026، تم حذف جميع الإضافات المكتشفة من متجر فايرفوكس، إلا أن ذلك لا يعني انتهاء الخطر بالنسبة للمستخدمين الذين سبق لهم تثبيت هذه الإضافات وإدخال بيانات محافظهم من خلالها.
ماذا يجب أن يفعل المستخدمون المتضررون؟
حذر خبراء الأمن السيبراني من أن أي مستخدم قام بإدخال عبارة استرداد حقيقية أو مفتاح خاص داخل إحدى هذه الإضافات المزيفة يجب أن يفترض أن بياناته تعرضت للاختراق بالفعل.
ويوصي المختصون بإنشاء محفظة جديدة بالكامل باستخدام جهاز نظيف وآمن، ثم نقل جميع الأصول الرقمية إليها في أسرع وقت ممكن. كما يُنصح بعدم إعادة استخدام العبارات السرية أو المفاتيح القديمة تحت أي ظرف، لأن المهاجمين قد يكونون حصلوا عليها بالفعل.
وتسلط هذه الحادثة الضوء على المخاطر المتزايدة المرتبطة بإضافات المتصفحات، خصوصاً تلك التي تتعامل مع العملات الرقمية أو البيانات الحساسة. فالمهاجمون باتوا يركزون بشكل متزايد على استغلال الثقة التي يمنحها المستخدمون للإضافات التي تبدو شرعية وتحمل أسماء قريبة من خدمات معروفة.
تصاعد مخاطر الإضافات الخبيثة في المتصفحات
تأتي هذه الواقعة ضمن سلسلة متصاعدة من التهديدات المرتبطة بإضافات المتصفحات المختلفة، سواء على فايرفوكس أو جوجل كروم أو مايكروسوفت إيدج.
وخلال الأشهر الأخيرة، رصد الباحثون عدداً من الإضافات المشبوهة التي تنوعت وظائفها الخبيثة بين سرقة ملفات تعريف الارتباط الخاصة بالحسابات، ومراقبة نشاط التصفح، وجمع بيانات المستخدمين، وإعادة توجيه الضحايا إلى مواقع تصيد احتيالي مخصصة لسرقة محافظ العملات الرقمية.
كما تم اكتشاف إضافات انتحلت صفة أدوات إنتاجية أو خدمات خصوصية أو برامج حجب الإعلانات، بينما كانت في الواقع تجمع بصمات المتصفح وسجل التصفح ومعلومات الحسابات على شبكات التواصل الاجتماعي وحتى محتوى المحادثات التي يجريها المستخدم مع منصات الذكاء الاصطناعي.
وفي ضوء هذه التهديدات المتنامية، ينصح خبراء الأمن بمراجعة جميع إضافات المتصفح المثبتة بشكل دوري، وحذف أي إضافة غير ضرورية أو مجهولة المصدر، مع الاعتماد على الإضافات الرسمية فقط وتحميلها من المطورين المعتمدين. كما يتعين على المؤسسات إجراء عمليات تدقيق منتظمة للإضافات المستخدمة داخل بيئات العمل وتبني أنظمة مراقبة سلوكية قادرة على اكتشاف الأنشطة المشبوهة قبل تحولها إلى حوادث اختراق واسعة النطاق.
