ChromeとEdgeの19拡張機能にウォレット窃取コード — 8万人が導入した正規拡張の買収・更新悪用をSocketが追跡

ソフトウェアサプライチェーン保護を手がけるSocketは2026年8月27日、Google Chrome用18件とMicrosoft Edge用1件の拡張機能に、暗号資産ウォレットや認証情報を窃取するコードが含まれていたとする調査結果を公開した。Socketはこの活動を「Superior」として追跡しており、2024年2月から少なくとも2年以上続いていたと分析している。

何が見つかったのか

Socketの研究者Karlo Zankiによると、19件の拡張機能は過去6か月間に公開され、コードや手口に共通点があった。内訳は攻撃者が新規に作成したものが14件、既存の正規拡張を買収して悪性化したものが5件だ。買収された拡張は当初は正常に動作し、利用者を集めた後に悪性バージョンが配信された。

Chromeの自動更新が既定で有効なため、利用者は意識せずに悪性バージョンへ更新される。最も影響が大きいのは「Enable Right Click & Copy — Smart Unlock + OCR」で、ChromeとEdgeを合わせて約8万人の導入があった。

Socketが公表した拡張の一覧（抜粋）は以下の通りだ。

買収された拡張

• koccklolohdacbfooifnpebakpbeipc — Enable Right Click & Copy — Smart Unlock + OCR
• fegckejpfnlmfgkfjpinlbgmeeijjkel — RapidLens - Google Lens for Screen Search & Images
• kdenlnncndfnhkognokgfpabgkgehodd — QuickLens - Search Screen with Google Lens
• jamminefolhgepgihbmcjjhgldbfcikp — Password Protect PDF
• inmkjedjdhgpknjogbjomhnbgdccckkg — Allow Copy - Select & Enable Right Click（Edge）

攻撃者が作成した拡張

• fcgdejjichpgfaaafflplhfijcnieopb — PixelCheck ほか、SEO解析や暗号資産価格表示を装う13件

Socketによると、「QuickLens」は2025年初頭にAnnex Securityやmonxresearch-secが既に悪性化を指摘していたもので、DomainTools Investigationsも2025年5月に偽サイト経由での配布を確認していた。今回の調査は、それらが単発ではなく広範なキャンペーンの一部だったことを示している。

どうやって窃取するのか

拡張機能は表向きには説明通りに動作する一方で、裏側で次のような機能を持つとSocketは説明する。

• WebSocketによるC2通信: 起動時にC2へ接続し、永続的なWebSocketを維持する。C2からの指示で接続先C2やデータ送信先を動的に切り替える機能があり、被害者をグループ分けして異なるインフラへ振り分けたり、検知を回避したりする狙いとみられる。

• CSPヘッダの除去とスクリプト注入: Content Security Policyヘッダを除去し、コンテンツスクリプトで任意のJavaScriptモジュールを標的サイトへ注入する。

• 16種の窃取モジュール: Socketが確認したモジュールは、以下のカテゴリに分かれる。

  • マルチチェーン対応のウォレットドレイナー
  • ハードウェアウォレットのシードフレーズ窃取
  • 取引所・ウォレットアカウントの窃取
  • 汎用的な認証情報・フォーム窃取
  • FacebookやLinkedInアカウント窃取
  • ブラウザ履歴窃取
  • ClickFix型の偽ブラウザ更新誘導

ClickFixモジュールは、偽のブラウザ更新画面を表示し、OSごとに異なる指示で利用者に悪性コマンドのコピー＆ペーストを促す。Socketは「一般的な機能に見せつつ、悪性サーバと通信して任意コードを実行する二重構造が特徴だ」と指摘している。

利用者が取るべき確認

Socketは、今回の最大のリスクは「正規拡張を買収し、自動更新で悪性バージョンを広げる手口」にあると述べている。ChromeとEdgeの拡張は既定で自動更新されるため、一度導入した拡張が後に悪性化する可能性がある。

Socketが推奨する確認事項は次の通りだ。

• 心当たりのある拡張が上記IDに該当しないか確認し、該当する場合は直ちに削除する
• ブラウザの拡張機能の権限や更新履歴を確認し、不審な通信や権限拡大がないか点検する
• ウォレットのシードフレーズをブラウザや拡張機能に入力しない、取引所の認証情報を再設定する

今回の調査は、拡張機能のサプライチェーンが、パッケージや依存関係だけでなく、ブラウザ拡張の流通経路でも狙われていることを示す。組織では、従業員が利用する拡張機能の棚卸しと許可制の運用を検討することが望ましい。

出典

• Socket, “19 Chrome and Edge Extensions Deliver a Wallet Drainer and Credential-Stealing Payloads”（2026年8月27日） https://socket.dev/blog/19-chrome-and-edge-extensions-deliver-a-wallet-drainer-and-credential-stealing-payloads