一家名为Koi Security的安全公司披露，Mozilla Firefox插件商店近期被恶意活动“GreedyBear”波及，150个伪装为主流加密钱包的扩展程序在平台上架，累计窃取用户约100万美元资产。据报道，这些伪装扩展最初以无害版本通过审核并刷好评，后续通过更新篡改为新名称和标识，同时注入窃取用户钱包凭据与IP地址的恶意代码。
Koi Security指出，相关扩展主要冒充MetaMask、TronLink和Rabby等知名钱包插件，并通过内置弹窗界面拦截用户输入的信息后传送至攻击者服务器。同时，该团伙还利用俄语盗版软件下载站点和伪装钱包服务网站，协同分布500种恶意载荷，涉及木马、信息窃取器（如LummaStealer）及勒索软件。
所有相关站点被发现连接至同一IP地址（185.208.156.66），作为指挥控制中心。Koi Security已将调研结果上报Mozilla，目前受影响插件已下架。然而报道强调，GreedyBear利用AI自动生成代码和优化攻击流程，使其能快速大规模部署、升级和规避检测，数字安全威胁明显升级。
此次事件也是继上月超过40款假钱包插件被发现后，Firefox商店再度爆发大规模安全事件，提示用户警惕插件来源并加强安全防范。