A extensão que prometia melhorar a Twitch mandou o token de 31 mil contas para um serviço russo de bots
O token OAuth ia embutido num redirecionamento a cada canal assistido, rumo aos servidores do JeetBot. Dez canais russos estavam isentos do desvio. O desenvolvedor chamou de descuido e corrigiu na versão 85.8.7.
A extensão de navegador Twitch Enhanced Viewer | JetBot, que prometia melhorar a experiência na Twitch, enviava o token OAuth de cada usuário para servidores de um serviço comercial russo de bots, o JeetBot. A pesquisa é da empresa de segurança Socket e foi publicada pelo The Hacker News em 14 de setembro.
O mecanismo era simples: a cada canal assistido, a extensão disparava um redirecionamento e o token ia embutido no endereço, como parâmetro auth. A conta fecha em 30.000 instalações no Chrome e 604 no Firefox, cerca de 31 mil tokens expostos. O token dá acesso a chat, mensagens privadas e configurações da conta.
O código tinha uma lista de 10 canais russos isentos do desvio. A extensão estava no ar desde meados de 2025. O desenvolvedor, Aleksandr Popov, chamou o vazamento de descuido e publicou a correção na versão 85.8.7; a versão é dele.
A história inteira vem de uma fonte forte, a pesquisa da Socket relatada pelo The Hacker News, sem segunda apuração independente até aqui. Por isso a confiança é média. Quem instalou a extensão deve revogar o token da Twitch agora, mesmo com a correção no ar.
Descuido não escreve uma lista de dez exceções.
A frase que não fecha| O que a extensão desviou | |
| Instalações no Chrome | 30.000 |
| Instalações no Firefox | 604 |
| = Tokens expostos | 31 mil |
| O que mais o código dizia | |
| Canais russos isentos do desvio | 10 |
| No ar desde | meados de 2025 |
| = Versão com a correção | 85.8.7 |
Números da pesquisa da Socket, publicada pelo The Hacker News. Fonte única forte: confiança média.
O desenvolvedor chamou de descuido. O código tinha uma lista de dez canais isentos do desvio, e alguém escreveu essa lista.
A pesquisa é da Socket, relatada pelo The Hacker News, sem segunda apuração independente até aqui. A fala do desenvolvedor entra como a versão dele.
Evidência▾
Entidades Twitch, Twitch Enhanced Viewer | JetBot, JeetBot, Socket, The Hacker News, Aleksandr Popov, Chrome, Firefox
Apurada e escrita por IA, verificada contra as fontes linkadas acima. Uma pessoa revisou antes de sair. Esta matéria se lê em 7 cards que você desliza, ou nesta página.
Como o Layer 8 é feito →
