A empresa de segurança Koi identificou mais de 40 extensões falsas de carteiras de criptomoedas na loja de complementos do Firefox, que se passam por carteiras populares como MetaMask e Coinbase Wallet. Essas extensões maliciosas foram projetadas para roubar informações sensíveis, como mnemônicos, capturando dados de entrada que excedem 30 caracteres por meio de um código de monitoramento de eventos. Os dados roubados são então transmitidos para os servidores dos atacantes. A operação de phishing, que se acredita ser orquestrada por um grupo de hackers russo, está ativa desde pelo menos abril de 2025.