Eine schädliche Twitch-Erweiterung hat OAuth-Tokens von rund 31.000 Nutzern an Proxy-Server eines russischen Bot-Dienstes geleakt. Die Erweiterung „Twitch Enhanced Viewer | JeetBot“ ist weiterhin in den offiziellen Stores von Google Chrome und Mozilla Firefox verfügbar und wirbt mit Funktionen wie Werbefreiheit und dem Abspielen von 1080p-Streams in Regionen mit Einschränkungen. Tatsächlich leitet sie ein sensibles Authentifizierungstoken unbemerkt an den Betreiber weiter.
Wie die schädliche Twitch-Erweiterung OAuth-Tokens von 31.000 Nutzern leakt
Die Erweiterung gibt als Entwickler „HISHIMIRO/jeetbot.cc“ an. In der Store-Beschreibung heißt es, JeetBot sei ein modernes Werkzeug für Streamer und Zuschauer, das Twitch unter anderem um einen 1080p-Stream für Regionen mit Einschränkungen erweitert. Tatsächlich greift sie tief in die Verbindung zu Twitch ein: In den aktuellen Builds ab Version 85.x leitet sie das OAuth-Token als Inline-Parameter „&auth=“ bei einer Netzwerk-Umleitung an den Proxy des Betreibers weiter. Das Token wird bei jedem Kanal mitgesendet, den der Nutzer aufruft – mit Ausnahme einer fest einprogrammierten Liste von zehn russischsprachigen Streamer-Kanälen. Bereits ältere Builds aus der Versionsreihe 4.x (etwa Version 4.8 aus dem Januar 2026) gingen noch einen Schritt weiter und sendeten das Token per POST an einen dedizierten Endpunkt auf dem Server des Betreibers, mit Backups auf deno.dev und deno.net.
Der Proxy gehört zu einer kommerziellen Bot-Plattform für Twitch, Kick und VK Live, die über weitreichende Zugriffsberechtigungen für Twitch verfügt und live authentifizierte Sitzungen durch die eigene Infrastruktur leitet. Die Erweiterung gibt vor, Werbung zu blockieren und regionale Sperren zu umgehen. Dazu leitet sie die Video-Playlist-Anfragen an „usher.ttvnw[.]net“ über die Proxy-Server des Betreibers und hängt dem Aufruf das OAuth-Token des Nutzers an.
Was ist ein OAuth-Token und warum ist der Leak gefährlich?
Ein OAuth-Token ist ein digitaler Berechtigungsnachweis, der eine Sitzung bei Twitch authentifiziert. Wer das Token besitzt, kann Aktionen im Namen des Kontos ausführen, ohne Passwort oder zweiten Faktor einzugeben. Dazu gehören das Lesen und Senden von Whispers (Privatnachrichten), das Schreiben im Chat und das Ausgeben von Kanalpunkten. Da das Token in der URL als Query-Parameter übertragen wird, wird es im Klartext in den Server-Logs des Proxy-Betreibers gespeichert.
Warum waren zehn russische Streamer-Kanäle ausgenommen?
Die fest einprogrammierte Liste enthält zehn Twitch-Kanäle. Die meisten gehören zu russischsprachigen Streamern mit teils sehr hohen Follower-Zahlen:
- pch3lk1n (580.000 Follower)
- fasoollka (361.000 Follower)
- flamie (132.000 Follower)
- dosia (29 Follower)
- fander (2 Follower)
- almazer (4 Follower)
- forzorezor (177.000 Follower)
- akyuliych (1,1 Mio. Follower)
- lagoda1337 (225.000 Follower)
- lagoda (77.300 Follower)
Der Entwickler erklärt die Sonderregel mit einem Playback-Workaround, der für eine spezifische Fehlermeldung entwickelt wurde. Zuschauer konnten bestimmte Kanäle nicht sehen, wenn sie außerhalb Russlands oder über eine VPN-Verbindung auf Twitch zugriffen. Der Player zeigte dann den Hinweis: „Ein Proxy oder Entsperrer wurde erkannt. Diese Premium-Inhalte stehen Ihnen während der Verwendung nicht zur Verfügung (Fehler #3).“ Für diesen alternativen Wiedergabepfad sei keine Token-Übertragung nötig gewesen, daher wurde das Token dort nicht mitgesendet.
Seit Version 85.8.4 lässt sich die Liste über die Einstellung „Channels with restrictions“ anpassen. Nutzer können Kanäle, für die der alternative Wiedergabepfad gilt, selbst hinzufügen oder entfernen. Es handelte sich also nicht um eine starre Ausnahme, sondern um eine standardmäßig vorbelegte, aber anpassbare Liste.
Sicherheitsupdate: Was müssen betroffene Nutzer jetzt tun?
Der Entwickler hat auf den Vorfall reagiert und die Weitergabe der OAuth-Tokens in der neuesten Version unterbunden. Die Firefox-Version 85.8.7 behebt das Problem; eine entsprechende Chrome-Version befindet sich derzeit in der Überprüfung durch den Chrome Web Store. In der Begleitdokumentation heißt es, dass ältere Installationen das Token weiterhin übertragen, bis sie aktualisiert werden. Nutzer, die die Erweiterung verwenden, sollten daher die installierte Version prüfen und auf 85.8.7 oder neuer aktualisieren. Bis das Update verfügbar ist, empfiehlt der Entwickler, die Erweiterung vorübergehend zu deaktivieren.
Wichtig ist jedoch: Eine Deaktivierung oder Aktualisierung entwertet nicht die bereits übertragenen Tokens. Wer befürchtet, dass das eigene Konto betroffen ist, sollte das Twitch-Passwort ändern und über die Twitch-Kontoeinstellungen alle aktiven Sitzungen sowie verbundene Anwendungen widerrufen. Nur so verlieren möglicherweise abgegriffene Tokens ihre Gültigkeit.
Entwickler räumen Versäumnisse ein – und verweisen auf ähnliche Erweiterungen
Die Erweiterung wird von JeetBot betrieben, einem Dienst, der mit mehr als 26.000 aktiven Streamern und einer Milliarde verarbeiteter Nachrichten wirbt. Der verantwortliche Entwickler ist Aleksandr Popov, der in Zypern ansässig ist und JeetBot als sein persönliches Projekt bezeichnet. Er räumt ein, dass die bisherige Beschreibung und die Datenschutzerklärung die Übertragung des Twitch-OAuth-Tokens an die eigenen Server nicht ausreichend erklärt haben. Die Weitergabe der Tokens sei ein Versehen gewesen, das in der neuesten Version behoben wurde. Der Mechanismus sei ursprünglich notwendig gewesen, um Stream-Playlists abzurufen und bestimmte Wiedergabefunktionen zu ermöglichen.
Popov verweist darauf, dass ähnliche Verfahren auch von anderen Twitch-Playback-Erweiterungen eingesetzt werden, etwa von ReYohoho Twitch Proxy, XT Viewer und ggsel Ханти. Diese nennen in ihren Store-Beschreibungen jedoch ausdrücklich, dass OAuth-Tokens zur Bereitstellung von 1080p- oder 1440p-Qualität für russische Nutzer an ihre Server übertragen werden. Auch diese Erweiterungen übertragen die Tokens in URL-Parametern. Der Entwickler betont, dass dies die eigene Verantwortung nicht mindere, und stellt zugleich klar, dass die weitergeleiteten Tokens nicht für unbefugte Kontozugriffe verwendet wurden. Er widerspricht der Einstufung der Erweiterung als schädlich; das Ziel sei die Bereitstellung von Wiedergabefunktionen.
Dass die Weitergabe der Tokens in den Store-Einträgen nicht offengelegt wurde, bleibt aus Sicherheitssicht ein schwerwiegender Mangel. Ein Twitch-OAuth-Session-Token ist ein Inhaber-Schlüssel: Jeder, der es besitzt, kann im Namen des betroffenen Kontos handeln, ohne das Passwort oder einen zweiten Faktor zu kennen. Die heimliche Weiterleitung von rund 31.000 Sitzungstokens über die Infrastruktur eines Drittanbieters ist ein gravierender Vorfall, selbst wenn keine missbräuchliche Verwendung nachgewiesen wurde.
Die Affäre zeigt, wie riskant Browser-Erweiterungen sein können, die tief in die Kommunikation einer Plattform eingreifen. Die Weitergabe von OAuth-Tokens über eine URL ist besonders kritisch, weil die Schlüssel dadurch in Logs und Protokollen des Betreibers landen. Für Twitch-Nutzer bedeutet das: Erweiterungen nur aus vertrauenswürdigen Quellen installieren, Berechtigungen hinterfragen und regelmäßig die Liste der verbundenen Apps und aktiven Sitzungen kontrollieren. JeetBot ist zugleich ein warnendes Beispiel dafür, dass auch scheinbar nützliche Funktionen wie regionale Freischaltungen erhebliche Sicherheitsrisiken mit sich bringen können.
