Исследователи из компании Socket выявили, что браузерное расширение Twitch Enhanced Viewer под авторством JeetBot, установленное примерно у 31 тысячи пользователей, занималось передачей OAuth-токенов на сторонние прокси-серверы. Эти токены дают доступ к аккаунтам Twitch, что фактически позволяет злоумышленникам действовать от имени жертвы без ввода пароля. Расширение позиционировалось как инструмент для улучшения просмотра стримов и было ориентировано в первую очередь на русскоязычную аудиторию.

Механика утечки строилась на том, что расширение при каждом обращении к API Twitch отправляло авторизационные данные не напрямую на серверы платформы, а через промежуточные прокси, контролируемые разработчиками. Socket не уточняет, как долго продолжался сбор токенов и сколько именно учётных записей оказалось скомпрометировано, но масштаб установок говорит сам за себя. Формально такие токены можно отозвать, однако пользователи редко проверяют активные сессии и ещё реже задумываются, какие разрешения выдаёт то или иное расширение.

Подобные инциденты с расширениями для Twitch случались и раньше: в 2024 году уже фиксировались случаи, когда плагины для стриминговой платформы собирали данные зрителей и продавали их третьим лицам. Схема с OAuth особенно неприятна тем, что не требует ни фишинговых писем, ни поддельных страниц входа — пользователь сам выдаёт доступ при установке. Магазин расширений Chrome при этом долгое время оставался удобной площадкой для распространения такого софта, поскольку проверки безопасности там носят скорее поверхностный характер.

Само расширение, судя по описанию, не выглядело подозрительным: типичный набор функций для удобства просмотра, русифицированный интерфейс, относительно свежая дата публикации. Именно поэтому 31 тысяча установок — это не аномалия, а закономерный результат доверия пользователей к магазину и отсутствия внятной модерации. Дополнительный риск создаёт то, что токены Twitch дают доступ не только к чату, но и к платёжной информации и настройкам канала, если речь идёт о стримерах.

На данный момент неизвестно, удалено ли расширение из магазина и были ли заблокированы прокси-серверы, через которые утекали данные. Пользователям, которые устанавливали Twitch Enhanced Viewer, стоит вручную отозвать все активные сессии в настройках безопасности Twitch и сменить пароль. Дальнейшее развитие истории будет зависеть от того, отреагирует ли сам Twitch на инцидент и начнёт ли платформа более строго проверять сторонние расширения, работающие с её API.