Firefox se ha convertido en el centro de una campaña de extensiones maliciosas diseñadas para robar frases de recuperación de wallets cripto. La firma de seguridad Socket ha confirmado 40 complementos maliciosos entre 77 identidades relacionadas, una red que imitaba monederos conocidos para capturar las claves de acceso a los activos digitales.
La investigación de Socket identificó 77 extensiones vinculadas por código compartido, infraestructura y patrones de publicación similares. De ellas, 40 fueron confirmadas como maliciosas. Varias suplantaban a OKX, Rabby Wallet y TronLink, tres marcas reconocidas del ecosistema Web3. Para un usuario medio, el disfraz bastaba: la interfaz parecía real, pero el objetivo era otro.
La actividad se detectó al menos entre marzo y agosto de 2026. Cuando Socket presentó su reporte, varias extensiones seguían activas en la tienda de Firefox. Ese es el detalle que convierte el episodio en una alerta vigente, no en un incidente cerrado: quien haya instalado uno de estos complementos recientemente podría seguir expuesto.
Una red de wallet falsas y herramientas convertidas en trampas
Los atacantes no se limitaron a copiar el nombre de una billetera. Algunas extensiones pedían importar una cuenta existente y mostraban un formulario en el que el usuario debía escribir su frase semilla o su clave privada. Esa frase de recuperación es la llave maestra que permite reconstruir un monedero en cualquier dispositivo; entregarla equivale a ceder el control de los fondos.
Socket también localizó 13 versiones modificadas de Rabby que aparentaban funcionar con normalidad mientras enviaban a un servidor externo los datos de la cuenta cada vez que se guardaban. Otras cinco extensiones recopilaban credenciales almacenadas y el contenido del portapapeles, dos fuentes que pueden incluir contraseñas o direcciones copiadas durante una operación con criptomonedas.
El caso más revelador fue una extensión que imitaba a OKX. Solo pedía permisos para el almacenamiento y las pestañas, lo que a simple vista parece inofensivo. En realidad cargaba una página remota y esperaba a que la víctima tecleara allí su frase de recuperación. Por eso el número de permisos solicitados no sirve como única señal de seguridad.
Una interfaz que parece legítima no convierte a una extensión en segura: si solicitó la frase semilla dentro del navegador, ya había motivos para desconfiar.
La fachada deportiva: así heredaron reseñas y usuarios
La mayoría de estos complementos tenía una apariencia útil y corriente. Las otras 37 identidades relacionadas no se presentaban como monederos, sino como generadores de contraseñas, modos oscuros, VPN, convertidores de moneda o herramientas para tomar notas. Su fachada, sin embargo, consistía en mostrar resultados deportivos en vivo mediante una credencial compartida para acceder a un proveedor legítimo de datos.
Esa apariencia de utilidad permitía acumular instalaciones y reseñas durante meses. Luego, mediante actualizaciones, el código cambiaba y la aplicación se transformaba en un ladrón de wallets. Socket confirmó que nueve extensiones maliciosas comenzaron como aplicaciones de resultados deportivos; el nuevo malware heredó la base instalada y el historial de confianza previo.
Los investigadores bautizaron la operación Fábrica de Robo de Billeteras Offside. Eso sí, advirtieron que las conexiones técnicas entre identidades no prueban que haya un único operador detrás de toda la campaña. La cautela es razonable: el código y la infraestructura compartidos dibujan una red, no necesariamente una sola organización.
Qué hacer si has introducido tu frase semilla en una de estas extensiones
La recomendación de Socket es contundente: cualquier monedero cuya frase de recuperación o clave privada haya sido introducida en una de estas extensiones debe considerarse comprometido de forma permanente. Desinstalar el complemento elimina el software local, pero no revoca la información que ya pudo haber viajado a un servidor ajeno. La prioridad es mover los fondos a una nueva wallet, creada con una semilla que nunca haya pasado por el complemento sospechoso.
Para reducir el riesgo a futuro, conviene descargar las extensiones únicamente desde la tienda oficial de complementos de Firefox, comprobar el desarrollador y desconfiar de cualquier monedero que pida una frase semilla dentro del navegador. Las billeteras legítimas no necesitan ese dato para funcionar.
Por qué las extensiones de navegador son una vía recurrente para el robo
El ataque vuelve a poner el foco sobre un punto débil del ecosistema cripto: la confianza depositada en complementos que operan muy cerca de las contraseñas y de las cuentas. A diferencia de una web falsa, que puede cerrarse en horas, una extensión puede permanecer instalada durante semanas y actualizarse sin que el usuario lea los cambios. La combinación de marcas conocidas, reseñas heredadas y cambios silenciosos de código convierte una instalación rutinaria en un riesgo financiero directo. La lógica es similar a la de un cerrajero que, una vez dentro de casa, no necesita la llave para revisar los cajones: la extensión convive con lo que quieres proteger.
El patrón recuerda a otras campañas de phishing dirigidas a wallets, pero con una vuelta más inquietante: los permisos limitados ya no bastan para tranquilizar al usuario. Una extensión solo necesita cargar una página remota para capturar lo que escribes. Eso debería incomodar incluso a quien no compra criptomonedas, porque las mismas extensiones también pueden acceder a contraseñas y datos personales. Mientras las tiendas de navegadores no detecten estos giros con rapidez, la responsabilidad se desplaza casi por completo al usuario.
La lección es incómoda. Las extensiones de navegador se han convertido en una vía recurrente para el robo de criptomonedas porque se instalan con un clic y se olvidan. Revisar con calma quién publica el complemento, qué permisos pide y qué hace realmente es una costumbre barata. Frente a una frase semilla, ningún atajo justifica el riesgo.
