2026年10月、FirefoxでRabbyやOKX Walletを装う悪意ある拡張機能16件が報告された。復元フレーズの入力画面を悪用する手口と、ハードウェアウォレット利用者が実践すべき拡張機能の確認、鍵の分離、漏洩時の資産移行手順を解説する。
2026年10月7日、セキュリティ企業Socketは、RabbyやOKX Walletに似せたFirefox拡張機能16件を報告した。復元フレーズや秘密鍵を入力する画面に情報送信コードが組み込まれ、入力内容を攻撃者側へ送る仕組みが確認された。Mozillaは10月5日までに該当拡張機能を非公開にした。
問題は偽アプリの見た目だけではない。ウォレットが正常に動いているように見えても、初期設定や復元の段階で秘密情報が漏れる可能性がある。
ハードウェアウォレットでも復元フレーズ漏洩は防げない
ハードウェアウォレットは通常、秘密鍵を端末外へ出さずに署名する。しかし、そのウォレットの復元フレーズを偽のブラウザー拡張機能に入力すれば、攻撃者が別環境で鍵を復元できる。端末のPINや署名確認画面だけでは、この侵害を防げない。
今回の報告は拡張機能による情報窃取であり、ハードウェアウォレット内部から鍵が直接抜き取られた事例ではない。
DeFi接続用と長期保管用を分ける
長期保管用の復元フレーズはオフラインで管理し、Webサイトや通常のPCアプリへ入力しない。DeFi接続用には別の鍵から生成したウォレットを使い、ブラウザープロファイルと拡張機能を限定する。導入時は公式サイトから配布先を確認し、表示名だけで正規品と判断しない。
入力した疑いがあれば鍵そのものを更新する
該当する偽拡張機能へ復元フレーズや秘密鍵を入力した場合、削除やパスワード変更だけでは不十分だ。安全な端末で新しい復元フレーズを生成し、送金先を端末画面で確認して資産を移す。旧ウォレットのトークン承認も確認する。
法人では導入可能な拡張機能を管理者が承認し、復元フレーズの入力禁止と緊急移行手順を文書化したい。秘密情報を一度でも渡した可能性があれば、旧ウォレットを継続利用しない判断が必要になる。