La société de sécurité Koi a identifié plus de 40 extensions de portefeuilles de cryptomonnaies frauduleuses sur la boutique d'extensions Firefox, se faisant passer pour des portefeuilles populaires comme MetaMask et Coinbase Wallet. Ces extensions malveillantes sont conçues pour voler des informations sensibles, telles que les mnémoniques, en capturant des données saisies dépassant 30 caractères via un code de surveillance d'événements. Les données volées sont ensuite transmises aux serveurs des attaquants. L'opération de phishing, que l'on pense orchestrée par un groupe de hackers russes, est active depuis au moins avril 2025.