Chrome拡張19件にウォレット窃取と暗号資産ドレイナー — 14件は新規作成・5件は買収、Socketが「Superior」キャンペーンとして追跡

Socketの脅威リサーチチームは2026年8月27日、ChromeウェブストアとEdgeアドオンストアで公開されていた19件のブラウザ拡張機能が、共通のマルウェア基盤を共有し、ウォレットの秘密鍵窃取や暗号資産のドレイン（奪取）、認証情報窃取などを行うことを確認したと報告した。報告したのは同社の研究者Karlo Zanki氏で、Socketは悪意あるJavaScriptモジュール名に含まれるタグからこの活動を「Superior」と命名して追跡している。

何が見つかったか — 19件の拡張が共通基盤を共有

Socketによると、悪意が確認されたのはChrome拡張18件とEdge拡張1件で、いずれの悪意あるバージョンも直近6か月以内に公開されたものだった。一方で、コードパターンや運用技術は2024年2月にDomainToolsが報告したキャンペーンと重なり、Socketは今回の19件がその継続であると評価している。

19件の内訳は、攻撃者がゼロから作成したものが14件、正規の作者から買収したものが5件である。いずれも、最初は広告した機能だけを持つ無害なバージョンを公開して信頼と利用者を集め、その後に悪意あるコードを含む更新を配信する手法を共通して用いていた。Socketは「最終ペイロードは可変で時間とともに差し替えられるが、狙いは一貫してウォレット窃取と暗号資産ドレインにある」と説明している。

最も露出が大きいのは「Enable Right Click & Copy — Smart Unlock + OCR」で、Chrome版は当初、正規組織PreppHintが開発し約7万人の利用者を抱えていた。攻撃者が買収して悪意あるバージョンを配信した時点で約7万人が影響を受ける可能性があり、同じマルウェアを含むEdge版の約1万人と合わせると最大8万人規模の露出となる。Socketによると、Chrome拡張の既定では起動時と数時間ごとに最新版へ自動更新されるため、買収後の悪意ある更新が広がりやすい。執筆時点でChrome版はストアから削除されたが、Edge版は依然として活動し、報告時点ではEdgeストアに残っていた。SocketはEdgeストアへ報告済みで、Chrome版が削除された後の2026年8月14日にはEdge版のC2ドメインを差し替えた更新が配信されたとしている。

仕組み — WebSocketでC2と通信し、CSPを外してJSを注入

Socketの分析では、19件は共通のコード実行基盤を備えている。バックグラウンドのservice workerがuserIdや接続・実行タイミング、ダウンロードしたコードモジュール（nodes）をChrome拡張のローカルストレージで管理し、指令統制（C2）サーバーと永続的なWebSocket接続を確立する。C2からの指示で追加のJavaScriptモジュールをダウンロードし、標的サイト上で実行する。

実行時の特徴として、拡張はすべてのページでContent Security Policy（CSP）ヘッダーを除去し、content scriptsでJavaScriptコードモジュールを注入する。これにより、本来ブロックされるはずの外部スクリプト実行が可能になる。Socketはこの設計が「マルウェア本体のロジックと悪意ある機能の実装を分離し、検出を避けながらC2のローテーションや委任で運用を継続させる」構造だと指摘している。

Socketが確認した悪意あるモジュールは16種を超え、少なくとも次のようなカテゴリが含まれる。

• ウォレットシークレット窃取: 12語・18語・24語のリカバリーフレーズ入力を捕捉して外部へ送信し、ウォレット全体を乗っ取る
• 取引所・ウォレットのアカウント収奪: OKX、MEXC、Kraken、KuCoin、Coinbase、Binance、Bybit、MetaMaskなどで、残高やCookie・Bearerトークンなどのセッション情報を読み取る
• 汎用的な入力窃取（superior-grabber）: すべてのテキスト・パスワード・メール入力でfocus/input/change/blur/mutationをフックし、一定間隔でページのフィンガープリントとともに外部送信する
• SNS窃取: Facebookのアクセストークンやビジネス・請求情報、LinkedInでは不正なservice workerを登録してCSRF対策ヘッダーを除去しログインセッションを悪用する
• 閲覧履歴の窃取（superior-history）
• ClickFix偽更新誘導（superior-updater）: ggle-analytics.comから偽のブラウザ更新ページやモーダルを注入し、OS別のスクリーンショットでクリップボードにコピーされた攻撃者指定のコマンドを貼り付けて実行させようとする

Socketは、初期のウォレットドレイナースクリプトの配信にcookie-whitelist[.]topやwhale-alert[.]art、偽更新ページにggle-analytics.comが使われたほか、プライマリC2としてactive-enable-right-click[.]topやapi[.]enable-right-click[.]clickなど、.topドメインを多用する傾向がDomainTools報告と共通するとしている。

2024年からの継続とSocketが呼びかける対策

Socketは、5件の買収された拡張の具体例として次のIDを挙げている。

• pkoccklolohdacbfooifnpebakpbeipc — Enable Right Click & Copy — Smart Unlock + OCR（Chrome）
• inmkjedjdhgpknjogbjomhnbgdccckkg — Allow Copy - Select & Enable Right Click（Edge）
• fegckejpfnlmfgkfjpinlbgmeeijjkel — RapidLens - Google Lens for Screen Search & Images
• kdenlnncndfnhkognokgfpabgkgehodd — QuickLens - Search Screen with Google Lens
• jamminefolhgepgihbmcjjhgldbfcikp — Password Protect PDF

攻撃者が新規作成した14件には、PixelCheckやCreative Library - Ad Spy ToolなどのSEO統計や広告スパイ、暗号資産価格監視をうたう拡張が含まれる。

Socketは「正規の拡張が数千ドルで売買される現状では、1万人規模の利用者を持つ拡張を2,000ドル未満で買えれば攻撃者にとって魅力的な投資になる。一方で、拡張の所有者が変わっても利用者へ通知されないため、リスクが急上昇しても気付けない」と指摘している。Socketが推奨する対策は次のとおりである。

• 拡張は本当に必要かを都度検討し、不要な拡張は削除して露出面を狭める
• インストール済み拡張を定期的に見直し、権限や更新履歴に不審な点がないか確認する
• 信頼できる拡張でも突然悪性化しうることを前提に、継続的に監視する姿勢を持つ

日本国内でも、ChromeとEdgeは広く利用されており、画面キャプチャ支援や右クリック解除、PDF保護、SEO支援といったユーティリティ拡張は導入されやすい。組織では、Socketが示した拡張IDとC2ドメイン（例: cookie-whitelist[.]top、whale-alert[.]art、ggle-analytics.com）を手がかりに、保有端末の拡張インベントリを確認し、該当する拡張があれば直ちに無効化・削除して、アカウントやウォレットの不正利用の有無を確認することが、Socketが報告する内容に基づく対応となる。Edge版が執筆時点で活動を続けていた点にも留意が必要である。

出典

• Socket「19 Chrome and Edge Extensions Deliver a Wallet Drainer and Credential-Stealing Payloads」Karlo Zanki氏、2026年8月27日 https://socket.dev/blog/chrome-edge-extension-wallet-drainer