Una campaña de extensiones fraudulentas suplanta las carteras Rabby y OKX para capturar frases de recuperación y claves privadas. Los usuarios afectados deben actuar de inmediato.
Por Redacción | El Vértice
Fecha de publicación: 9 de octubre de 2026
Una extensión del navegador puede parecer una herramienta inofensiva y convertirse en la puerta de entrada al robo de una cartera de criptomonedas. Eso es lo que han descubierto investigadores de ciberseguridad tras identificar 16 extensiones maliciosas para Mozilla Firefox diseñadas para suplantar servicios legítimos y hacerse con las credenciales que permiten controlar activos digitales.
La campaña, investigada por la empresa de seguridad informática Socket, utiliza interfaces que imitan las carteras de criptomonedas Rabby Wallet y OKX Wallet. Su objetivo es interceptar las frases de recuperación y las claves privadas que los usuarios introducen al importar sus carteras y transmitir esa información a una infraestructura controlada por los atacantes.
El hallazgo, publicado por The Hacker News el 8 de octubre de 2026, pone de relieve un problema de seguridad que afecta a una de las principales defensas del usuario: la confianza que deposita en las herramientas que instala en su navegador.
La amenaza es especialmente grave porque las frases de recuperación permiten restaurar una cartera y acceder a los activos asociados. Si caen en manos de terceros, estos pueden intentar apropiarse de los fondos sin necesidad de conocer la contraseña habitual del usuario.
Cómo funcionan las extensiones maliciosas de Firefox
Según el análisis de Socket, las extensiones identificadas se presentaban como portales de carteras, utilidades de escritorio y herramientas para el navegador. Algunas reproducían interfaces de servicios conocidos para que el proceso de importación pareciera legítimo.
El engaño se producía cuando el usuario intentaba importar una cartera existente. Durante ese procedimiento, la extensión podía interceptar la información secreta introducida en los formularios y tratar de enviarla a servidores controlados por los atacantes.
Los investigadores detectaron comunicaciones con infraestructura alojada en Cloudflare Workers, una plataforma legítima de ejecución de código en la nube que, como otros servicios de este tipo, también puede ser utilizada indebidamente por actores maliciosos.
El uso de un servicio conocido no convierte en legítima la actividad detectada. Lo determinante es el comportamiento del código: en este caso, la recopilación de información que permite recuperar y controlar carteras de criptomonedas.
La campaña se apoyaba en interfaces reconocibles y en nombres de extensiones aparentemente corrientes. Esa presentación puede dificultar que un usuario sin conocimientos técnicos distinga una herramienta fraudulenta de una auténtica.
Rabby Wallet y OKX, entre las marcas suplantadas
Los investigadores identificaron dos grupos principales dentro de la campaña:
- Cuatro extensiones imitaban Rabby Wallet.
- Las otras 12 estaban orientadas a suplantar OKX Wallet mediante interfaces y funciones relacionadas con la importación de carteras.
Socket observó que los responsables reutilizaban código y lógica de gestión de credenciales, mientras modificaban nombres, versiones, identificadores y elementos visuales.
Este patrón permite mantener una campaña con distintas variantes. Si una extensión desaparece de una tienda o empieza a generar sospechas, los atacantes pueden intentar distribuir otras con una presentación diferente.
Los investigadores consideran que esta actividad continúa una campaña anterior documentada en agosto de 2026. La reutilización de elementos técnicos y de infraestructura apunta a una posible continuidad operativa, aunque la atribución concreta debe limitarse a las conclusiones documentadas en el análisis.
Las 16 extensiones identificadas
Socket publicó los identificadores de las extensiones detectadas. Los usuarios y administradores pueden contrastarlos con el inventario de complementos instalados en sus equipos.
La lista difundida por The Hacker News es la siguiente:
view-focus-bright@webtools.co@6.12.2quick-track-nest@tabtools.co@8.1.18vibe-kit-tool@fasttools.co@9.21.9edge-hub-snap@protools.net@4.12.24core-hub-peak@neattools.example@8.24.21sipoo-grozza@browserweb.com@2.1mozart-seo@webtools.com@1.4clean-file-bar@neattools.com@4.21.8clean-net-timer@plugify.example@4.17.1manager-square@webtools.com@1.4manager-course@webtools.com@1.4val-andrew@browserweb.com@1.4manager-team@browserweb.com@1.4valory-andrew@browserweb.com@1.4franklin-uk@browserweb.com@1.4franklin-uro@browserweb.com@1.4
Importante: estos identificadores deben utilizarse como referencia para comprobar instalaciones sospechosas. La ausencia de un nombre en esta lista no demuestra que una extensión sea segura.
Qué información intentaban robar
El objetivo central de la campaña eran dos tipos de credenciales especialmente sensibles.
La frase de recuperación
La frase de recuperación, también denominada frase semilla, es una secuencia de palabras que permite restaurar una cartera compatible y recuperar el acceso a las claves que controla.
Dependiendo del tipo de cartera y de su configuración, quien obtiene esa frase puede reconstruir las credenciales necesarias para gestionar los activos asociados.
Por ese motivo, no debe introducirse en páginas o extensiones cuya autenticidad no se haya verificado. Tampoco debe compartirse con supuestos técnicos de soporte, agentes de recuperación de fondos o personas que prometan solucionar un problema urgente.
La clave privada
La clave privada es un dato criptográfico que permite autorizar operaciones desde una cartera. Quien la controla puede tener capacidad para firmar transacciones y transferir los activos asociados.
A diferencia de una contraseña de acceso a una plataforma, una clave privada expuesta no se protege simplemente cambiando la contraseña de la cuenta. Es necesario evaluar qué credenciales y activos han quedado comprometidos y trasladarlos de forma segura cuando corresponda.
La investigación de Socket señala que las extensiones interceptaban estos secretos durante los flujos de importación y trataban de enviarlos a una infraestructura externa.
El riesgo continúa aunque se desinstale la extensión
Mozilla había retirado las 16 extensiones identificadas a fecha de 5 de octubre de 2026, según el informe recogido por The Hacker News. Sin embargo, la retirada de un complemento no revierte una posible filtración anterior.
Si un usuario instaló alguna de estas extensiones y escribió una frase de recuperación auténtica o una clave privada en su interfaz, debe considerar comprometida la cartera afectada, aunque no observe movimientos extraños.
Los atacantes pueden conservar los datos obtenidos y utilizarlos posteriormente. Por tanto, no es prudente esperar a que aparezca una transferencia no autorizada para actuar.
La medida prioritaria es proteger los activos desde un dispositivo limpio y mediante una cartera legítima. Si existen fondos asociados a las credenciales expuestas, conviene crear una cartera nueva con una frase de recuperación nueva y trasladar los activos a ella, verificando cuidadosamente las direcciones y la red utilizada.
En activos o protocolos que empleen permisos de gasto, también debe revisarse si existen autorizaciones que deban revocarse. El procedimiento depende de la cadena de bloques, los activos y las aplicaciones implicadas.
Qué deben hacer los usuarios si han instalado una extensión afectada
Las recomendaciones dependen de si la extensión llegó a recibir información secreta o si únicamente estaba instalada.
Si se introdujo una frase de recuperación o una clave privada real:
- Dejar de utilizar la cartera expuesta para nuevas operaciones. No volver a introducir sus secretos en la extensión ni en páginas relacionadas con ella.
- Eliminar la extensión maliciosa y revisar los complementos instalados en Firefox.
- Utilizar un dispositivo limpio y una aplicación o extensión de cartera obtenida desde su fuente oficial verificada.
- Crear una cartera nueva con credenciales nuevas. No reutilizar la frase de recuperación que pudo quedar expuesta.
- Trasladar los activos que sigan bajo control del usuario a la nueva cartera, comprobando las direcciones y las redes antes de confirmar cada transacción.
- Revisar las autorizaciones de los contratos inteligentes, cuando corresponda, y revocar las que ya no deban mantenerse.
- Guardar las nuevas credenciales de forma segura, sin enviarlas por correo electrónico, mensajería o formularios web.
Si ya se han producido transferencias no autorizadas, hay que conservar las direcciones, los identificadores de transacción y cualquier otra evidencia. Puede contactarse con la plataforma o servicio afectado y denunciar los hechos ante las autoridades competentes.
No debe confiarse en personas que prometan recuperar automáticamente los fondos a cambio de un pago anticipado o que soliciten la frase de recuperación para investigar el incidente.
Si la extensión estaba instalada, pero nunca se introdujeron credenciales: debe desinstalarse y comprobarse si se utilizó para otras acciones sensibles. La instalación por sí sola no demuestra que una cartera haya quedado comprometida, pero conviene revisar el historial de uso y la actividad de las cuentas relevantes.
Cómo reducir el riesgo de instalar extensiones fraudulentas
La campaña demuestra que una apariencia profesional y un nombre convincente no bastan para verificar la seguridad de un complemento.
Antes de instalar una extensión de Firefox, es recomendable:
- Comprobar la fuente oficial. Acceder a la cartera desde su web legítima y seguir los enlaces de descarga que proporciona el propio servicio.
- Revisar el desarrollador y los permisos. Una herramienta que solicita acceso a datos que no necesita merece un examen adicional.
- Desconfiar de las solicitudes inesperadas de credenciales. Una frase de recuperación no debe introducirse en una extensión desconocida para desbloquear una función aparentemente rutinaria.
- Mantener actualizado el navegador. Las actualizaciones ayudan a corregir vulnerabilidades, aunque no garantizan que todas las extensiones instaladas sean seguras.
- Eliminar complementos innecesarios. Cuantas menos extensiones se mantengan instaladas, menor será la superficie de riesgo que debe supervisarse.
- Verificar las operaciones desde una fuente independiente. Antes de transferir activos, comprobar la dirección de destino y los detalles de la transacción.
Para las empresas, Socket recomienda revisar los complementos instalados en los entornos gestionados y utilizar mecanismos de supervisión que detecten comportamientos sospechosos. Una política de extensiones permitidas puede reducir el riesgo de que los empleados instalen herramientas no autorizadas.
Una amenaza que va más allá de Firefox
El descubrimiento se produce en un contexto de campañas que aprovechan extensiones de navegadores para recopilar información, redirigir a las víctimas a páginas fraudulentas o interceptar datos sensibles.
El navegador se ha convertido en una pieza central de la actividad digital: desde el acceso al correo y a las herramientas de trabajo hasta la gestión de activos financieros. Por eso, una extensión con permisos excesivos o código malicioso puede abrir una vía de exposición que el usuario no espera.
La lección principal es que la seguridad de una cartera de criptomonedas no depende únicamente de la fortaleza de su tecnología, sino también de cómo se guardan las credenciales y de qué aplicaciones tienen acceso a ellas.
Las extensiones legítimas pueden aportar comodidad, pero instalar una herramienta no verificada que solicita una frase de recuperación equivale a entregar el dato que permite restaurar la cartera. La precaución más eficaz es no compartir nunca ese secreto con servicios cuya legitimidad no se haya comprobado.
La campaña atribuida por Socket a estas 16 extensiones deja una advertencia concreta: revisar los complementos instalados, verificar su procedencia y actuar rápidamente ante una posible exposición puede marcar la diferencia entre un intento de fraude y la pérdida irreversible de activos digitales.
Toqueteo
Toqueteo
Toqueteo