Firefoxの拡張機能40件がウォレットの秘密情報を盗んでいた｜Socketが公表した4つの型と確認項目【2026年8月】

セキュリティ企業の Socket が2026年8月19日、Firefox の公式アドオンストアで配られていた拡張機能のうち、40件が暗号資産のウォレットの秘密情報を盗んでいたと公表しました。

盗まれるのは、ウォレットを復元するための単語の並び（リカバリーフレーズ）と秘密鍵です。これが外に出ると、別のパソコンからウォレットをそのまま復元され、中身を動かされてしまいます。

やり方は4通りありました。偽のウォレット画面を出して自分で入力させるもの、本物のウォレットのプログラムを書き換えて裏で送り出すもの、などです。うち9件は、最初はスポーツの試合結果を出す普通の拡張機能として公開され、あとから更新で中身が入れ替えられていました。

Socket は「拡張機能を消しても、いちど外に出たフレーズは無効にならない」と書いています。

この記事で分かること

• Socket が公表した件数の内訳（77件・40件・37件はそれぞれ意味が違います）
• 秘密情報が抜かれる4つの型
• 「0KX WEB3」という、ウォレットの機能が入っていない偽ウォレット
• 更新で中身が入れ替わるという構造
• 要求される権限が少ないことが安全の証拠にならない理由
• 国内で公表されている相談窓口
• 現時点で未確定の事項

本記事は公表資料の整理です。特定の製品やサービスの利用・乗り換えを推奨するものではありません。

Socket が公表した内容

Socket Threat Research は2026年8月19日、調査レポート「77 Firefox Extensions Linked to Crypto Wallet and Credential Theft」を公開しました。

同社はこの一連の活動を「Offside Wallet Theft Factory（オフサイド・ウォレット窃盗工場）」と呼んでいます。「オフサイド」はサッカーの用語で、後述するスポーツ関連の見せかけに由来します。

活動が確認されているのは、少なくとも2026年3月から8月までです。最初に解析された59バージョンについて、Mozilla の署名記録は3月9日から8月3日にわたり、4月と7月下旬に集中していました。

件数の内訳（77・40・37は意味が違います）

数字が3つ出てくるため、先に区別しておきます。

数	意味
77件	コードの使い回し、拡張機能IDの付け方、掲載文の言い回しなどから、同じ一味のものと追跡されている識別子の総数
40件	個別に中身を解析して、悪質だと確定したもの
37件	スポーツの試合結果を表示する「見せかけ」の集団。解析したビルドに窃取のコードは確認されていない

🔴 37件について、Socket は「解析したビルドには認証情報やウォレットを盗むコードは確認されていない」と明記しています。ただし、掲載文と実際の機能が食い違っていること、公開の痕跡が共通していることから、同じ活動の一部とみなしています。

なお8月中旬までの調査で18件が追加特定され、追跡対象が77件になりました。報告の時点でまだ公開が続いていたものもあったと記載されています。

秘密情報が抜かれる4つの型

悪質と確定した40件は、抜き方によって4つに分かれます。

型1｜遠隔スイッチで、あとからフィッシング画面を出す（7件）

拡張機能そのものには盗む機能を入れず、外部のクラウドから「今どの画面を出すか」を受け取る作りです。

審査を通す段階では中身が比較的おとなしく見えるため、あとから内容を差し替えられます。

型2｜入力されたフレーズを、そのまま外部へ送る（15件）

リカバリーフレーズや秘密鍵を受け取り、攻撃者が用意した Cloudflare Workers（正規のクラウドサービス）へ送信していました。悪いのはサービスそのものではなく、そこに置かれた受け取り口です。

型3｜本物のウォレットのコードを書き換える（13件）

これがいちばん見破りにくい型です。

正規の Rabby Wallet は、鍵の情報を「まとめる → 暗号化する → 端末に保存する」という順で処理します。改造版は、この暗号化の一歩手前に送信処理を割り込ませていました。

• 送信は暗号化されていない通信（平文のHTTP・ポート9000）
• 送信したあと、正規の保存処理はそのまま続く
• そのため、利用者の画面ではエラーも遅延も起きない

13件のうち8件は、送信先のアドレス以外ほぼ同一のプログラムでした。

型4｜認証情報とクリップボードを抜く（5件）

ログイン情報に加えて、クリップボードの中身も送信していました。暗号資産の送金先アドレスは長い文字列なので、コピーと貼り付けで扱われることが多い部分です。

「0KX WEB3」──ウォレットの機能が入っていない偽ウォレット

Socket が調査の起点にしたのが、この拡張機能です。

名前は「OKX」に見えますが、先頭は英字の O ではなく数字のゼロでした。ストアの掲載ページは OKX 風のロゴとスクリーンショットを使い、「データは収集しない」と書いていました。公開者の表示は「dev」だけ、利用者数の表示は7でした。

中身を開けると、ウォレットとしての機能がひとつも入っていません。鍵をつくる、署名する、残高を表示する、送金する──そのどれもがありませんでした。

入っていたのは次の3つです。

1. 見せかけとして動く、ただのメモ帳
2. 外部クラウドのURLと接続キー
3. そこから指定されたURLを読み込んで表示する仕組み

拡張機能を開くと、外部から受け取ったURLがポップアップの中で開かれます。インストール直後と更新直後には、別ウィンドウでも開かれました。

遷移先はきれいな Web3 風の画面で、「ウォレットを作成」「ウォレットをインポート」が並びます。インポートを選ぶと、最大24語のリカバリーフレーズか秘密鍵を求められました。

この拡張機能自体は、パソコンの中のウォレットを探し回りません。利用者が自分の手で、外部の画面に秘密情報を打ち込む構造です。

なお 0KX WEB3 については、Socket の記事公開前に Mozilla のセキュリティチームが削除したと記載されています。

更新で中身が入れ替わる

40件のうち9件は、過去のバージョンではサッカーやバスケットボールの試合結果を表示する拡張機能でした。そのあとの更新で、同じ拡張機能IDのまま、ウォレットを盗むコードに置き換えられています。

37件の「見せかけ」の集団も同じ構造です。掲載文ではパスワード生成、ダークモード、VPN、通貨換算、スクリーンショット、メモ作成などをうたいながら、実際に入っていたのはスポーツのスコア表示機能でした。

Socket は「既存の権限の範囲内であれば、追加の確認を求めずに動作を変更できる」ため、バージョンごとに継続して確認することが欠かせないと書いています。

インストールした時点で問題がなかったことは、いまも問題がないことの説明にはならない、という指摘です。

「権限が少ないから安全」とは言えない

結論部で Socket が強く書いているのが、この点です。

要求される権限を、信頼の代わりに扱うべきではない

今回の40件の中には、権限をほとんど要求しないものが含まれていました。型1と型2のように「利用者が自分で外部画面に入力する」設計であれば、拡張機能側が強い権限を持つ必要がないためです。

インストール時に出る権限の一覧が短いこと自体は、安全性の裏づけにはならない、という整理になります。

いちど出たフレーズは、消しても戻らない

Socket は次のように書いています。

拡張機能を削除したあとであっても、外部に出たリカバリーフレーズや秘密鍵は恒久的に漏えいしたものとして扱う

リカバリーフレーズは、別の端末で同じウォレットを丸ごと復元できる情報です。拡張機能をアンインストールしても、すでに相手の手元にある情報が無効になるわけではありません。

型3（Rabby 改造型）の説明でも、同じ趣旨が繰り返されています。削除しても取り消されないため、攻撃者は独立して資産を動かせる、と記載されています。

この件を確認する際の項目

報告書から読み取れる範囲を、確認項目として並べます。どれも判断そのものではなく、判断の材料です。

• 拡張機能の名称に、似た形の別の文字が使われていないか（O とゼロ、l と I など）も確認項目のひとつです
• 公開者名が「dev」のような一般名詞だけになっていないか
• 掲載ページのうたい文句と、実際に動く機能が一致しているか
• リカバリーフレーズや秘密鍵の入力を、ブラウザの中の画面が求めていないか
• 自動更新のあとに挙動が変わっていないか
• 拡張機能は Firefox の公式アドオンサイト 経由で入れたものか

Socket は8月20日に、ブラウザ拡張機能の安全性監視を Firefox にも拡大したと発表しています。対象は公式ストアの97,000件超と記載されています。同社は7月にも、Chrome の VPN 系拡張機能737件についての調査を公表しており、この問題は Firefox に限った話ではありません。

国内での位置づけと相談窓口

今回の調査は Socket による国外の報告であり、日本の当局の発表ではありません。国内の被害件数についての記載もありません。

日本国内では、金融庁が2026年8月6日に「暗号資産を用いた詐欺被害等防止に向けた対策の一層の強化」を掲載しています。この内容は 金融庁の暗号資産11項目要請とは？ で扱っています。

ウォレットアプリ本体を偽物に差し替える型の手口については、本物のウォレットアプリを終了させて偽物に差し替える で別途整理しています。フィッシング全般の基本は 口座と個人情報を守る にまとめてあります。

相談の窓口は次のとおり公表されています。

窓口	内容
警察庁 サイバー犯罪対策	各都道府県警のサイバー犯罪相談窓口の案内
消費者ホットライン 188	最寄りの消費生活センター等へつながる番号
金融庁 金融サービス利用者相談室	金融サービス全般に関する相談・情報提供の受付

被害の届出については警察が窓口になります。どの窓口が適切かは事案の性質によって変わるため、複数の入口が用意されています。

現時点で未確定の事項

• 日本の利用者が対象に含まれていたかどうか（報告書に国別の被害者の記載はありません）
• 被害の件数と金額（報告書に記載がありません）
• インストール総数（0KX WEB3 の表示が7だったこと以外、件数の集計はありません）
• 攻撃者の所在・人数・所属（報告書は「threat actors」としており、特定していません）
• 追跡対象77件のうち、現時点で何件が削除済みなのか（報告時点で公開中のものがあったという記載までです）
• 37件の「見せかけ」の集団が、今後どう扱われるか（Socket は窃取コードを確認していないと明記しています）
• Mozilla 側の対応方針の全体像（0KX WEB3 の削除についての記載までです）

この記事のまとめ

• セキュリティ企業Socketは2026年8月19日、Firefoxの公式アドオンストアで配布されていた拡張機能40件がウォレットの秘密情報を盗んでいたと公表しました。同じ一味と追跡されている識別子は77件、窃取コードは確認されていない「見せかけ」の集団が37件と、数字ごとに意味が違います
• 盗み方は4つの型に分かれます。外部から遠隔でフィッシング画面を出すもの、入力されたフレーズをそのまま送信するもの、本物のRabby Walletのプログラムを暗号化の直前で書き換えて平文送信するもの、認証情報とクリップボードを抜くものです
• 調査の起点になった「0KX WEB3」はウォレットとしての機能を一切持たず、外部URLを読み込んで偽の画面を表示するだけの拡張機能でした。Socketの記事公開前にMozillaが削除したと記載されています
• 40件のうち9件は、もとはスポーツの試合結果を表示する拡張機能で、更新によって同じ拡張機能IDのままウォレットを盗むコードに置き換えられていました
• Socketは「要求される権限を信頼の代わりに扱うべきではない」とし、権限がほとんど要らない設計の型もあったと指摘しています。また削除後も、いちど外に出たリカバリーフレーズは恒久的に漏えいしたものとして扱うとしています
• 日本の利用者が対象に含まれていたか、被害件数・金額、攻撃者の所在、77件のうち削除済みの件数などは、記事内で未確定の事項として明記されています

この記事に出てくる言葉

---

出典・確認日: 本記事は2026年8月27日（日本時間）に、Socket Threat Research の調査レポートおよび各機関の公表ページを取得して作成しました。掲載内容はその後変更される場合があります。

※本記事は公表された資料・発表の内容を整理した一般的な情報提供であり、特定の個人・団体・商品・サービスの利用や解約を勧めるものではありません。投資の最終判断はご自身の責任で行ってください。元本保証はなく、損失が生じる可能性があります。税務の取扱いについては税理士に、法律上の論点については弁護士にご確認ください。

運営: 株式会社シンセイサービス

あわせて読みたい

• 口座と個人情報を守る ── フィッシング・出金トラブルから資産を守る基本
• 本物のウォレットアプリを終了させて偽物に差し替える｜Rapid7が公開した暗号資産詐欺の全工程と見分け方【2026年8月】
• 金融庁が2026事務年度の金融行政方針を公表｜口座開設の直後に暗号資産をアンホステッド・ウォレットへ移せない「熟慮期間」の制度的対応を進めると明記【2026年9月】

まずは、投資の基礎を無料で学ぶ

AGITOアプリで、解説記事・用語集・市場情報を確認できます。学習コンテンツと市場情報は無料です。

iPhoneで使う Androidで使う

記事の内容に誤りを見つけた場合は、info@agito-investor.com までお知らせください。確認のうえ訂正します。