Rabby偽装の悪性Firefox拡張がシードフレーズを吸い上げ、Cloudflare Workersへ即時送信

今日の深掘りポイント

• ブラウザ拡張というフリクションの低い入口から、暗号資産の“最終秘密”であるシードフレーズ／秘密鍵を直接収集する攻撃は、従来のフィッシング対策を素通りします。エンドポイント上の「ウォレット操作面」こそが新たな要衝です。
• 攻撃者の送信先にCloudflare Workersが使われている点は重要です。評判の良いCDNのエッジを経由することで、C2/漏えい通信の検知・遮断の難易度が一段上がります。組織のEgress制御と検知は“既知の悪性インフラ”だけでは足りません。
• Mozillaが該当拡張の公開停止に動いても、すでにインストール済みの端末では被害が継続し得ます。拡張の許可リスト化と、暗号資産業務のブラウザ分離（人・端末・プロファイルの分離）を“構造的対策”として先に打つべきです。
• メトリクス上も緊急性・実行可能性・起こりやすさのバランスが高リスク寄りにまとまっており、SOCは“いますぐできる棚卸し・封じ込め・検知強化”を優先順位高で回すべき局面です。

はじめに

Firefox向けに公開されていた16種の悪意ある拡張機能が、暗号資産ウォレット（Rabbyを含む正規ブランドを模倣）を装い、ユーザーが入力するシードフレーズや秘密鍵を収集して攻撃者のCloudflare Workersエンドポイントへ送信していた事案が報告されています。調査によれば16のうち15で“アクティブな収集ハンドラー”が確認され、Mozillaは2026年10月5日までに当該拡張を非公開化しています。とはいえ、すでに導入され「そのまま生きている」個体があれば、窃取は継続し得ます。暗号資産利用者だけでなく、取引所やWeb3事業者、金融系の端末運用にも波及しかねない“静かに深刻な”タイプの脅威です。

参考: GBHackers: 16 Malicious Firefox Extensions Impersonating Crypto Wallets

深掘り詳細

事実の整理（報道から読み取れる点）

• Firefox向けに公開されていた拡張機能16種が暗号資産ウォレットやウォレット支援ツールを偽装し、ユーザーが入力するシードフレーズ／秘密鍵を盗む目的で設計されていたと報告されています。
• 調査では16のうち15に“アクティブなデータ収集ハンドラー”が含まれ、入力された機微情報を攻撃者が管理するCloudflare Workersへ送信する挙動が確認されたとされています。
• 当該拡張はRabbyウォレットのブランドやUI/文言を模倣しており、正規品と誤認させる工夫が認められます。
• Mozillaは2026年10月5日までに該当拡張を非公開化措置としていますが、インストール済み環境での悪性コード動作停止は自動では担保されません。
• 出典は上掲の報道リンクに依拠します（一次資料の拡張ID・ハッシュ・Workersの詳細は同報道を参照ください）。

編集部インサイト（TTPと構造的リスク）

• なぜCloudflare Workersか
  攻撃者にとって“安価・即時・地理的に近い”エッジ実行環境で、TLS越しの正当なWeb通信に見える形でシークレットを受け取れるのがWorkersの強みです。評判ベースのブロックや、疎通先のAS/CDNカテゴリだけでの制御をすり抜けやすく、ネットワーク監視にとって厄介な選択肢になります。防御側は「悪性IP/ドメインの否認」から「業務ごとの許可（positive control）」へ軸足を移す必要があります。
• ウォレット“インポート”導線の死角
  従来のフィッシングは、外部サイトでフレーズを入力させる手口が多かったのに対し、今回は“拡張の自己UI”で入力させます。ユーザーにとっては「正規の拡張を開いて操作している」体験そのものであり、セキュリティ啓発の“ドメインを確認しよう”では防げません。拡張という実行形態そのものが新たな検証対象になります。
• “非公開化＝解決”ではない
  ストアからの除去は新規拡散を抑止するに過ぎません。既存インストールの棚卸し・除去と、影響を受けた可能性のあるウォレットの再生成（新シードへの資産退避）こそが被害最小化の決め手です。
• 暗号資産組織の運用課題
  取引所やWeb3事業者にとっては、オペレーター端末（カストディ・カスタマーサポート・リスク審査）が“広義のホットウォレット”に隣接します。ブラウザ拡張の許可リスト化と、ウォレット操作の分離実行（専用端末・専用プロファイル・VDI/リモート隔離）を、従来の権限管理よりも“半歩先の基本”に織り込むべきです。

脅威シナリオと影響

以下は報道を踏まえた仮説のシナリオです（MITRE ATT&CKのテクニックは仮説マッピング）。

• シナリオA：個人投資家のシードフレーズ窃取

  • 初期侵入: 偽装拡張の導入（ユーザー実行/ソーシャル工学）［T1204］＋ 正規ブランドへのなりすまし［T1036 Masquerading］
  • 永続化/実行: 悪性ブラウザ拡張の常駐［T1176 Browser Extensions］
  • 情報収集: 拡張UI/フォームからの入力捕捉［T1056 Input Capture（拡張によるフォームフックの一態様として）］
  • 秘密情報アクセス: ブラウザ内のウォレット関連データへのアクセス（該当する場合）［T1555.003 Credentials in Web Browsers］
  • C2/流出: HTTPSによるWorkersへの送信［T1071.001 Web Protocols］もしくはWebサービスへの流出［T1567 Exfiltration to Web Service］
  • 影響: 即時の資産移転（オンチェーンでの不正送金）

• シナリオB：取引所オペレーター端末の汚染

  • 初期侵入: オペレーターが“便利ツール”として導入
  • 横展開: 直接の横展開は限定的でも、社内のホットウォレット操作やAPIキー流出を誘発
  • 影響: 引き出しフローのバイパス、顧客資産の小口連続送金、出金審査の撹乱

• シナリオC：開発者の検証用資金・テストウォレットからの拡大

  • 初期侵入: Devが拡張を試用
  • 影響: テスト用のはずのウォレットから本番キー保管リポジトリや署名マテリアルのヒントが漏れ、段階的なリスク増大

総じて、緊急性と起こりやすさが高く、しかも利用者の行動変容だけでは塞ぎにくい構造的なリスクです。SOC/CSIRTは“拡張という実行単位”を管理対象に昇格させる必要があります。

セキュリティ担当者のアクション

“いますぐ”“体系的に”“検知も含めて”の3レイヤで提示します。

• いますぐやること（封じ込め）

  • インベントリ棚卸し: 全社でFirefox拡張を一斉列挙（端末管理/EDRやプロファイル配下のextensions.jsonの収集）し、未知・不要・ウォレット系を重点確認します。
  • 強制除去: 不審拡張は即時アンインストール。該当者には端末再起動とブラウザプロファイルの再作成も検討します。
  • ウォレットの再生成: 影響可能性がある利用者には新たなシードでウォレットを作り直し、資産をクリーンな環境へ退避します（既存シードは無効化前提で扱います）。
  • 送信先の遡り確認: プロキシ/NGFW/EDRで“workers.dev”等の通信履歴を確認し、該当端末と時間帯を特定・封じ込めします（正当利用も多いため、業務コンテキストで判定します）。

• 体系的にやること（再発防止の仕組み化）

  • 拡張の許可リスト化: Firefox Enterpriseポリシー（ExtensionSettings等）やMDMで、インストール可能な拡張を厳格に許可リスト化します。ウォレット利用部門は“ゼロ拡張”または厳選1～2本に限定します。
  • ブラウザ分離: 暗号資産の操作は専用プロファイル/専用端末/仮想ブラウザ（RBAC付き）に分離し、日常のWeb閲覧プロファイルと混ぜない運用にします。個人投資家向けにも“取引用ブラウザ”と“閲覧用ブラウザ”の二刀流を推奨します。
  • 最小権限の徹底: ウォレット業務端末はローカル管理者権限・開発者モード・未知ソフト導入を禁止し、USB記憶域も閉じます。
  • 出口のポジティブ制御: ウォレット操作端末の外向き通信は厳格に許可制（目的地FQDN/ASN単位）に寄せ、Cloudflare等の汎用CDN宛ては“既知の必要先”以外は遮断します。
  • 監査と教育: “シードは入力するだけで盗まれる”という拡張型リスクを啓発し、ストアの星評価やレビュー数を鵜呑みにしない姿勢を徹底します。

• 検知と対応（ハンティング観点）

  • 兆候1: 短時間に拡張のインストール・有効化が増える端末（新規プロファイル生成直後など）を優先監視。
  • 兆候2: ブラウザ起動直後にworkers.devやカスタムドメインのWorkersへPOST/PUTが飛ぶ挙動。
  • 兆候3: クリップボード監視やフォーム入力直後の外向き通信（拡張の“入力捕捉→即送信”のタイミング相関）。
  • 事後対応: 侵害疑いがある場合は、該当拡張の残骸（プロファイル配下の拡張フォルダ、更新URL、署名情報）を保全し、当該期間のオンチェーン資産移動も合わせて時系列化して即時の資産凍結/連絡フローにつなげます。

• 暗号資産運用に特化した追加策

  • ハードウェアウォレットの標準化と“オフラインでのシード生成/保管”の徹底（ブラウザUI内でのシード入力を極力減らします）。
  • 出金ディレイ/多段承認/アラートのデフォルト有効化（個人でも引き出しのタイムロックやアラートを活用）。
  • 取引所・カストディは、ホットウォレットの総量制限と自動アノマリ検知（新規宛先・少額連打・時間帯偏り）を合わせ技にします。

最後に、この種の事案は「偽サイト」から「偽アプリ・偽拡張」へと軸足を移し続けています。ストアのレビューや人気順は“安心の指標”ではありません。組織は拡張という実行単位をゼロトラストの対象に戻し、許可リスト・分離・出口のポジティブ制御という“地味だが効く”三点セットを日常運用に織り込むべきです。そうすることで、ユーザー教育の限界を技術と運用で補完できます。

参考情報

• GBHackers: 16 Malicious Firefox Extensions Impersonating Crypto Wallets