人気のTwitch拡張機能を通じてユーザーのOAuthトークンが窃取され、JeetBotサービスに送信されていた。ChromeおよびFirefoxのストアで提供されている「Twitch Enhanced Viewer | JeetBot」拡張機能は、3万件以上のインストール数を誇るにもかかわらず、ユーザーのセッショントークンを盗み出していた。アプリケーションセキュリティ企業Socketの分析により、この拡張機能がTwitchウェブクライアントで使用される認証ヘッダーを傍受し、ユーザーのOAuthトークンを抽出してプロキシサーバーに送信していることが判明した。

これらのサーバーはJeetBotによって運営されており、Twitch、Kick、VK Live向けのツールを提供するロシア語のストリーミングおよびチャットボットサービスである。最新版の拡張機能では、トークンがリダイレクトリクエストの「&auth=」URLパラメータとして追加され、プロキシサーバーのリクエストログに平文で記録されていた。このプロセスはユーザーがTwitchのチャンネルを視聴するたびに実行され、拡張機能のコードにはトルコ語のチャンネルを除く10チャンネルがハードコードされていた。

Socketは、この拡張機能が以前、露骨なID窃取メカニズムを含んでいたと指摘している。Firefoxアドオンストアの製品説明で開発者は、以前のメカニズムについて警告していた。「拡張機能の以前のバージョンでは、私たちのOAuth-Twitchトークンをサーバーに送信していました。ストリームを1080/1440pで動作させるためにこれが必要でした。」Chrome版についてはデータプライバシーの開示が記載されていた。