Extensiones del navegador que roban carteras: cuando una app deportiva acaba recolectando tu frase de recuperación

Si usas una cartera cripto en forma de extensión del navegador, abre hoy mismo tu lista de extensiones. En agosto de 2026 la firma de seguridad Socket destapó dos campañas independientes en las que extensiones para Firefox, Chrome y Edge capturaron frases de recuperación, claves privadas y credenciales de acceso a plataformas de intercambio de criptomonedas. El segundo de esos informes se elaboró el 30 de agosto, de modo que tiene un día. Lo afectado es precisamente el lugar en el que muchos inversores manejan su cartera a diario.

Una extensión del navegador es un pequeño programa complementario que se ejecuta dentro del navegador y dispone de permiso para leer y modificar el contenido de las páginas que visitas. Ese mismo permiso es lo que la hace útil para los proveedores de carteras y valiosa para los atacantes.

Extensiones del navegador que roban carteras: lo que Socket encontró en agosto de 2026

Socket es una firma de seguridad especializada en cadenas de suministro de software que examina paquetes y extensiones en busca de código malicioso. Sus especialistas publicaron en diez días dos hallazgos que muestran el mismo patrón y que, aun así, no pertenecen al mismo caso.

El primer informe lleva fecha del 20 de agosto de 2026 y afecta al mercado de Firefox: según el análisis de Socket, 77 identidades de extensiones están relacionadas entre sí, 40 de ellas confirmadas como maliciosas. El segundo informe circuló entre el 28 y el 30 de agosto y afecta a Chrome y Edge: 19 extensiones, 18 de ellas para Chrome y una para Edge, llevaban dentro un vaciador de carteras. Un vaciador de carteras, o wallet drainer, es código malicioso que traslada un saldo a una dirección ajena en una sola operación, en lugar de ir desviando importes sueltos.

Ambos casos comparten algo que para ti importa más que cualquier cifra: las extensiones estaban en los mercados oficiales de los fabricantes de navegadores. Quien las instaló no hizo nada mal, no descargó ningún archivo dudoso ni pulsó ningún enlace de un correo electrónico.

Offside Wallet Theft Factory: cómo se relacionan 77 extensiones de Firefox

Socket denomina a la campaña de Firefox Offside Wallet Theft Factory y renuncia expresamente a atribuirla a ningún actor conocido. Los especialistas tampoco escriben que detrás de cada extensión esté el mismo operador; lo que las vincula es código compartido e infraestructura compartida.

Las 40 extensiones confirmadas se reparten en cuatro grupos. Siete se hacían pasar por productos cripto y servían como cargadores de phishing controlados a distancia, entre ellas una entrada llamada 0KX WEB3, que empleaba un cero en lugar de la letra O e imitaba así el nombre de la plataforma OKX. Quince llevaban el código de robo directamente dentro. Trece de esas quince eran réplicas modificadas del software de cartera Rabby. Otras cinco recogían credenciales de acceso y el contenido del portapapeles. Las 37 identidades restantes de las 77 se presentaban como herramientas VPN, generadores de contraseñas o aplicaciones deportivas, y mostraban efectivamente resultados de partidos.

Según Socket, se imitaron las interfaces de OKX, Rabby Wallet y TronLink. En este asunto esos tres proveedores son los perjudicados y no los causantes: su nombre y su apariencia se usaron como cebo sin intervención suya.

Como base técnica sirvieron proyectos alojados en el servicio de bases de datos Supabase, que actuaban como interruptores remotos, junto con Cloudflare Workers y Pages para las interfaces falsificadas, además de servidores de control escritos directamente en el código. Esos servidores de control se conocen en el sector como servidores C2, abreviatura de command and control; reciben los datos robados y devuelven nuevas instrucciones. Los datos de firma de las extensiones cubren el periodo del 9 de marzo al 3 de agosto de 2026, con concentraciones en abril y a finales de julio. Mozilla retiró de su mercado los complementos señalados tras el informe.

Qué le está permitido hacer realmente a una extensión del navegador

Una extensión con permiso para leer y modificar datos en todos los sitios web se sitúa técnicamente al mismo nivel que la propia página. Ve lo que escribes, ve lo que la página te muestra y puede alterar ambas cosas antes de que lleguen a su destino. Para una extensión de cartera eso es lo normal e inevitable. Para una extensión que desbloquea el clic derecho o muestra resultados de fútbol, no lo es.

Del resultado deportivo al recolector de frases de recuperación: por qué la actualización es más peligrosa que la instalación

La parte más instructiva del hallazgo de Firefox no tiene al principio nada que ver con las criptomonedas. Nueve de las extensiones maliciosas confirmadas empezaron su vida como aplicaciones deportivas inofensivas y mostraban resultados de fútbol, baloncesto y fútbol americano. Fueron actualizaciones posteriores las que sustituyeron esa función por código de robo de carteras, y lo hicieron bajo el mismo identificador. La versión maliciosa heredó así toda la base instalada y las valoraciones positivas acumuladas por su antecesora inofensiva. A ese truco debe su nombre la campaña.

Para tu práctica esto significa que la comprobación que hiciste al instalar no vale de forma indefinida. Las valoraciones, el número de usuarios y la antigüedad de una extensión describen su pasado. Una actualización puede sustituir el código por completo, y las actualizaciones de extensiones se ejecutan de forma automática en la configuración predeterminada, sin que se te pregunte.

Con cinco de las 19 extensiones de Chrome y Edge ocurrió algo parecido, solo que un paso antes: según el análisis de Socket eran extensiones auténticas, ya publicadas por otros desarrolladores, que fueron adquiridas y después transformadas. Las 14 restantes las habían construido los atacantes por completo desde cero.

Réplicas modificadas de Rabby: cómo se escapa el llavero antes del cifrado

Las trece réplicas modificadas de Rabby son la parte técnicamente más delicada del hallazgo de Firefox. Rabby es un software de cartera de código abierto; su código puede copiarse y modificarse legalmente. Los atacantes reescribieron exactamente una función, la que guarda el llavero de forma permanente. Un llavero, llamado keyring en el código, es el registro en el que una cartera mantiene juntas sus claves privadas y la frase de recuperación.

En el original, ese llavero se convierte en texto y a continuación se cifra con tu contraseña antes de acabar en el disco duro. En las versiones modificadas se envía, según expone Socket, justo en el momento en el que está en forma de texto, es decir, antes del cifrado. Tu contraseña de cartera ya no protege nada en ese punto, porque solo entraría en juego después. Esas mismas versiones interceptan además la frase de recuperación al crear y al importar una cartera.

19 extensiones de Chrome y Edge: el vaciador que reproduce las páginas de Ledger y Trezor

El segundo hallazgo es el más reciente y afecta, con Chrome y Edge, a otros dos mercados. Según el análisis de Socket, las 19 extensiones contenían un vaciador capaz de atender varias cadenas a la vez: carteras en Ethereum y en todas las redes compatibles con ella, carteras en Solana y carteras en Tron.

A ello se sumaron páginas de recuperación y de actualización reconstruidas que se parecían a las interfaces oficiales de los fabricantes de carteras de hardware Ledger y Trezor. Su único fin era recoger la frase de recuperación. También aquí los dos fabricantes son víctimas de la imitación. Quien usa una cartera de hardware y se pregunta qué modelos existen y en qué se diferencian encontrará el panorama en nuestra comparativa de carteras de hardware para cripto.

Sobre el alcance hay un dato individual sólido y una estimación. Sólida es la extensión llamada Enable Right Click & Copy, Smart Unlock + OCR: tenía más de 70.000 usuarios en Chrome y más de 10.000 en Edge cuando se volvió maliciosa. Para el conjunto de la campaña, una publicación especializada cifra en unos 80.000 los usuarios afectados. También el momento de inicio se describe de forma divergente: BleepingComputer escribe que la operación podría estar en marcha desde comienzos de 2024, mientras que otro análisis del mismo estudio de Socket habla de unos seis meses de actividad y señala febrero de 2024 como comienzo probable. Ambas lecturas conviven y ninguna está confirmada.

En el momento de la publicación, según BleepingComputer, ninguna de las extensiones seguía disponible en la Chrome Web Store. La versión para Edge sí lo estaba.

Cabecera CSP eliminada: lo que una extensión puede hacer en cada página que visitas

Merece la pena recorrer con calma la secuencia del caso de Chrome y Edge, porque explica por qué una sola extensión mala llega tan lejos. Tras la instalación abre una conexión permanente cifrada con un servidor de control, la llamada conexión WebSocket. Por esa vía descarga piezas sueltas de JavaScript que no estaban en absoluto en el paquete del mercado. Un revisor que solo mire el paquete presentado encuentra allí, por tanto, poca cosa.

Después elimina la cabecera CSP de cada página que abres. La Content Security Policy es una instrucción de protección con la que un sitio web comunica al navegador desde qué fuentes pueden ejecutarse scripts. Si desaparece, el navegador acepta también código ajeno. Ese código se cuela luego en la página mediante elementos HTML ocultos.

El resultado es incómodamente concreto. El banco, la plataforma de intercambio y la interfaz de la cartera que abres en el mismo navegador dejan de ser, a partir de ese instante, las páginas que entrega el proveedor. Son lo que la extensión hace de ellas. Justo por eso una autorización que en pantalla parece inofensiva puede significar algo muy distinto en segundo plano. Cómo leer con detalle una autorización así se explica en nuestro artículo sobre lo que realmente concedes al confirmar.

Token de sesión en lugar de contraseña: por qué la verificación en dos pasos no protege aquí

Según Socket, el vaciador no ataca solo a carteras, sino también a cuentas en plataformas de negociación. Se mencionan Coinbase, Binance, Kraken, OKX, MEXC, KuCoin y Bybit, además de la cartera MetaMask. Lo que se recoge son credenciales de acceso, tokens de sesión, historial de navegación, información de cuentas de Facebook y LinkedIn, y entradas de formularios en distintos sitios web.

El término token de sesión merece una explicación propia, porque es lo que marca la diferencia con un robo corriente de contraseñas. Un token de sesión es el pase que un sitio web expide a tu navegador tras un inicio de sesión correcto, para que no tengas que introducir contraseña y segundo factor en cada clic. Quien posee ese token ya está identificado a ojos del sitio web. La verificación en dos pasos ya se ha producido y no se vuelve a solicitar.

Por eso, ante una sospecha, no basta con cambiar la contraseña. Tienes que cerrar además todas las sesiones activas. La mayoría de las plataformas de negociación ofrecen esa función en los ajustes de seguridad bajo denominaciones como dispositivos activos, sesiones o dispositivos conectados. Qué proveedores entran siquiera en consideración para los clientes alemanes y qué funciones de seguridad traen consigo lo muestra el panorama de plataformas de intercambio de criptomonedas.

Revisar las extensiones instaladas: así llegas a la lista en Firefox, Chrome y Edge

La revisión dura unos minutos y no cuesta nada. En Firefox abres la dirección about:addons y eliges a la izquierda el apartado Extensiones. En Chrome es chrome://extensions, en Edge edge://extensions. En los tres navegadores puede abrirse la vista de detalle de cada entrada, en la que figuran los permisos, el editor y la fuente de instalación.

Recorre la lista de arriba abajo y hazte dos preguntas ante cada entrada: ¿recuerdas todavía por qué instalaste esta extensión? ¿Y la has usado realmente en las últimas semanas? Todo lo que se atasque en alguna de las dos preguntas se va fuera. Una extensión que no necesitas sigue siendo una puerta abierta que nadie vigila.

Cómo reconocer una extensión que ha cambiado de manos

Por desgracia no existe una señal limpia que delate el truco de la actualización, y eso forma parte de la verdad. Sí hay, en cambio, indicios que en conjunto sirven de algo. Llama la atención que una extensión de función banal exija de pronto permisos amplios, o que haya cambiado el nombre del editor. Llama la atención también una columna de valoraciones en la que conviven voces entusiastas antiguas y quejas más recientes sobre un comportamiento distinto. Y llama la atención cualquier extensión cuyo nombre coincida con el de un producto conocido salvo por un carácter, como el cero de la entrada 0KX WEB3.

Leer los permisos: qué derechos de acceso son normales en una extensión de cartera

Una extensión de cartera auténtica necesita derechos amplios, porque de lo contrario no podría cumplir su cometido. El acceso a los datos de todos los sitios web no es, por tanto, una señal de alarma en su caso. La verdadera pregunta es otra: ¿por qué necesita el mismo permiso una herramienta de capturas de pantalla, un traductor o un desbloqueo del clic derecho?

En la práctica esto significa que ordenas tus extensiones por finalidad y no por proveedor. Toda extensión que puede leer y modificar todas las páginas aunque su función solo haga falta en una única página o al pulsar un botón es candidata a borrarse. Chrome y Edge permiten además limitar el acceso de una extensión a páginas concretas o concederlo solo tras un clic. Ese ajuste te cuesta dos días de acostumbrarte y le quita a una extensión que ha cambiado de manos la mayor parte de su alcance.

Cartera de hardware o cartera de navegador: qué significa la diferencia cuando llega el momento

Los dos hallazgos de Socket llevan a una distinción que en el día a día suele difuminarse. En una cartera en forma de extensión del navegador la clave privada está cifrada en el ordenador, y el software del navegador la descifra para firmar. En una cartera de hardware la clave no abandona nunca el dispositivo; el ordenador envía la operación y recibe de vuelta la firma terminada.

Esa diferencia decide cómo acaba para ti un ataque como el descrito. Frente a un material de claves capturado, la cartera de hardware ayuda, porque sencillamente no hay nada que capturar. Frente a una interfaz manipulada que te muestra una dirección de destino falsa solo ayuda si lees los datos en la pantalla del dispositivo y no en la del ordenador. Y frente a una página de recuperación reconstruida que te pide introducir tu frase de recuperación no ayuda técnica alguna. Ahí solo vale la regla de no teclear nunca esa frase en ninguna parte. Qué carteras de software existen para el uso diario y dónde están sus límites lo expone la comparativa de carteras de software.

Tras una sospecha: por qué desinstalar por sí solo no salva nada

Para el caso de Firefox, Socket formula una recomendación clara: quien haya introducido una frase de recuperación o una clave privada en alguna de estas extensiones debe considerar esos datos comprometidos de forma permanente y trasladar el saldo a una cartera recién creada. La razón es sencilla y se pasa por alto con facilidad. Borrar la extensión no recupera nada de lo que ya se ha transmitido. Una frase de recuperación no se revoca, solo se sustituye.

El orden importa cuando hay sospecha. Crea la cartera nueva en un dispositivo no afectado y transfiere solo después. Quien crea la cartera nueva en el mismo navegador contaminado se limita a repetir la operación con claves frescas. Luego vienen las cuentas en las plataformas de negociación: contraseña nueva, cerrar todas las sesiones, volver a configurar el segundo factor y revisar las direcciones de retirada guardadas.

Una indicación sobre cómo manejar la agitación que desatan estas noticias. Justo en los días posteriores a que un incidente se hace público se multiplican los mensajes que prometen ayuda a los afectados y que de paso preguntan por la frase de recuperación. Esa treta se practica ya también en papel, como muestra el caso del phishing de carteras por carta. Ningún proveedor serio y ninguna administración pregunta jamás por esa frase.

Impuestos y pruebas: qué documentar tras un robo de criptomonedas

Si de verdad ha salido algo, asegura las pruebas antes de ponerte a limpiar. Entre ellas están el momento de la salida de fondos, las direcciones afectadas, los identificadores de transacción del explorador de bloques correspondiente, el nombre y el identificador de la extensión junto con una captura de pantalla de la página del mercado, si la entrada sigue accesible, así como el número de expediente de una denuncia ante la policía.

Cómo repercute fiscalmente una pérdida así depende del caso concreto y corresponde a un asesor o una asesora fiscal. Sin pruebas completas esa cuestión no puede aclararse siquiera de partida, y las pruebas son bastante más difíciles de conseguir semanas después que al día siguiente. Una herramienta de cartera que de todos modos registra tus movimientos te ahorra, llegado el caso, la reconstrucción a mano.

Revisar las extensiones del navegador: lo que te llevas de todo esto

1. Ordena hoy mismo tu lista de extensiones. Abre about:addons, chrome://extensions o edge://extensions y borra todo lo que no uses de forma activa o ya no sepas situar. Fíjate especialmente en las entradas de función banal con permisos amplios. Si llevas tu cartera en el navegador, comprueba en la comparativa de carteras de software si tu montaje sigue encajando con tu patrimonio.
2. Separa del navegador los importes que no mueves. La parte de tu patrimonio que no tocas cada semana corresponde a un dispositivo cuya clave no ve nunca el navegador. Los modelos y sus diferencias figuran en la comparativa de carteras de hardware para cripto.
3. Cierra tus sesiones abiertas en las plataformas de negociación. Una contraseña nueva no basta mientras siga siendo válido un token de sesión antiguo. Entra en los ajustes de seguridad de cada cuenta, expulsa todos los dispositivos y vuelve a iniciar sesión. Qué proveedores ofrecen qué funciones de seguridad lo muestra el panorama de plataformas de intercambio de criptomonedas.

Los dos hallazgos del mes surgieron de forma independiente y afectan a los tres grandes navegadores. Dicen lo mismo: el mercado de un fabricante de navegadores es una preselección y no una garantía, y la comprobación hecha al instalar envejece más deprisa que la propia extensión.

Los informes originales están disponibles en Socket sobre la campaña de Firefox y en la elaboración de BleepingComputer sobre el caso de Chrome y Edge.

(31 de agosto de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)