Nach Angaben von Socket nutzen die 40 als schädlich bestätigten Erweiterungen mehrere Methoden. Sieben davon verwenden von den Angreifern kontrollierte Supabase-Projekte als ferngesteuerte Schalter, um dynamisch Phishing-Seiten oder Köderinhalte auszuliefern. 15 Add-ons erfassen Wiederherstellungsphrasen, private Schlüssel und andere Wallet-Geheimnisse und leiten diese über Cloudflare Workers ab. 13 veränderte Rabby-Wallet-Versionen exfiltrieren serialisierte Schlüsselbunde noch vor der lokalen Verschlüsselung. Die verbleibenden fünf Erweiterungen greifen Zugangsdaten und Zwischenablage-Daten über fest einprogrammierte Command-and-Control-Infrastruktur ab.
Die Geheimnisse der Wallets werden laut den Forschern auf zwei Wegen gestohlen: Entweder laden die Erweiterungen aus der Ferne eine gefälschte Wallet-Seite nach, oder die Funktion zum Datendiebstahl ist direkt in die Erweiterung eingebaut. In einigen Fällen tauchten die Add-ons zunächst im offiziellen Firefox-Marktplatz für Erweiterungen als Hüllen für Sportergebnisse oder als harmlose Werkzeuge auf. Später wurden sie unter derselben Firefox-ID in Malware zum Diebstahl von Wallet-Daten umgewandelt.
Die 37 Erweiterungen, die Socket der Sportergebnis-Operation zurechnet, enthalten täuschende Implementierungen für Fußball, Basketball, NBA und Hockey. Sie verwenden eine fest einprogrammierte Zugangsinformation für API-Sports, einen legitimen Dienst für Echtzeit-Sportdaten. Gleichzeitig bewerben sie davon unabhängige Funktionen wie Passworterzeugung, Dunkelmodus, VPN-Zugang, Währungsumrechnung, Bildschirmfotos und Notizen.
Socket erklärte außerdem, dass historische Versionen von neun bestätigten bösartigen Erweiterungsidentitäten ebenfalls solche Hüllen für Sportergebnisse zu Fußball, Basketball, NBA und American Football nutzten. Erst spätere Versionen unter denselben Firefox-IDs seien in Erweiterungen zum Wallet-Diebstahl umfunktioniert worden.
Für die übrigen 31 bestätigten bösartigen Identitäten gilt laut Socket, dass ihnen zwar die Integration der Sport-API fehlt, sie aber nachweislich Funktionen zum Diebstahl von Wallet-Geheimnissen oder Zugangsdaten enthalten.
Boychenko betonte, schon eine einzige erfolgreiche Installation könne eine Wiederherstellungsphrase, einen privaten Schlüssel oder einen Wallet-Zustand offenlegen, dessen Wert die Kosten für das wiederholte Veröffentlichen kurzlebiger Erweiterungen deutlich übersteigen könne. Diese ökonomische Logik erkläre nach seiner Einschätzung, warum die Angreifer das Firefox-Ökosystem für Erweiterungen trotz kurzer Lebensdauer einzelner Add-ons und späterer Entfernung weiter ins Visier nehmen. Als wiederkehrende Muster nannte er wechselnde Namen und IDs, die Zweckentfremdung bestehender Erweiterungsidentitäten, geklonten Code sowie die Aufteilung bösartiger Funktionen auf Erweiterungen, entfernte Seiten und Cloud-Infrastruktur.