... but we have a title and subtitle in the instructions. The original content provided is the full article with headings. We need to translate the entire content. The original content includes the lead, sections, etc. We'll translate that.
We need to produce the content as an element. The original content is already in tags. We'll translate the inner HTML.
Let's translate the lead:
"Security researchers at Socket have identified 40 Firefox add-ons with confirmed malicious behavior designed to steal crypto wallet data. The campaign ran from at least March into August, with Mozilla signing records showing 59 versions between March 9 and Aug. 3, and activity clustering in April and late July. Anyone whose recovery phrase, private key, or wallet keyring was exposed to a malicious version must treat the wallet as compromised — uninstalling the add-on can't revoke a secret that's already been sent."
Hebrew: "חוקרי אבטחה ב-Socket זיהו 40 תוספות Firefox עם התנהגות זדונית מאומתת שנועדה לגנוב נתוני ארנק קריפטו. הקמפיין נמשך לפחות ממרץ ועד אוגוסט, עם רישומי חתימה של Mozilla המראים 59 גרסאות בין 9 במרץ ל-3 באוגוסט, ופעילות שהתרכזה באפריל ובסוף יולי. כל מי שחשוף לביטוי הגיבוי, למפתח הפרטי או לטבעת המפתחות של הארנק בגרסה זדונית חייב להתייחס לארנק כאל פרוץ — הסרת התוספת לא יכולה לבטל סוד שכבר נשלח."
We need to be careful with terminology: "recovery phrase" = "ביטוי גיבוי" or "ביטוי שחזור", "private key" = "מפתח פרטי", "wallet keyring" = "טבעת מפתחות של ארנק" (maybe "מחזיק מפתחות" but we'll use "טבעת מפתחות"). "compromised" = "פרוץ".
Section 1: "How the add-ons worked" -> "איך פעלו התוספות"
Paragraph: "The 40 malicious identities used four distinct attack paths. Seven were remote-controlled phishing loaders. Fifteen captured recovery phrases, private keys, or wallet secrets. Thirteen were modified clones of the Rabby wallet that sent serialized keyrings away before encryption. And five collected credentials and clipboard data. Each path ends with the same outcome: the attacker can empty the wallet."
Hebrew: "40 הזהויות הזדוניות השתמשו בארבעה נתיבי תקיפה נפרדים. שבע היו מטעיני פישינג בשליטה מרחוק. חמש עשרה תפסו ביטויי גיבוי, מפתחות פרטיים או סודות ארנק. שלוש עשרה היו עותקים שונו של ארנק Rabby ששלחו טבעות מפתחות מסודרות לפני ההצפנה. וחמש אספו אישורים ונתוני לוח. כל נתיב מסתיים באותה תוצאה: התוקף יכול לרוקן את הארנק."
We need to keep "Rabby" as is. "serialized keyrings" - "טבעות מפתחות מסודרות" or "מפתחות מסודרים". We'll use "טבעות מפתחות מסודרות".
Section 2: "The sports-score disguise" -> "ההסוואה כתוצאות ספורט"
Paragraph: "Some of these add-ons had a double life. Nine of them had previously distributed sports-score tools under the same IDs, and the report lists 37 more as deceptive or suspicious sports-score shells without a confirmed theft payload. That's a plausible cover: a user installs a score app, then a 'wallet' update appears later."
Hebrew: "לחלק מהתוספות הללו היה חיים כפולים. תשע מהן הפיצו בעבר כלי תוצאות ספורט תחת אותם מזהים, והדוח מפרט 37 נוספות כקליפות תוצאות ספורט מטעות או חשודות ללא מטען גניבה מאומת. זהו כיסוי סביר: משתמש מתקין אפליקציית תוצאות, ואז מופיע עדכון 'ארנק' מאוחר יותר."
Section 3: "What users should do" -> "מה המשתמשים צריכים לעשות"
Paragraph: "Socket's advice is blunt: uninstalling the add-on doesn't fix anything. Affected users should move remaining assets to a fresh crypto wallet created from a new recovery phrase, change passwords, terminate active sessions, and verify any copied destination addresses before sending. The threat isn't limited to the wallet itself — any credential or session that touched the add-on is suspect."
Hebrew: "העצה של Socket היא חדה: הסרת התוספת לא מתקנת כלום. משתמשים מושפעים צריכים להעביר נכסים שנותרו לארנק קריפטו חדש שנוצר מביטוי גיבוי חדש, לשנות סיסמאות, לסיים הפעלות פעילות, ולוודא שכתובות יעד שהועתקו נכונות לפני שליחה. האיום אינו מוגבל לארנק עצמו — כל אישור או הפעלה שנגעו בתוספת חשודים."
Section 4: "What's still unknown" -> "מה עדיין לא ידוע"
Paragraph: "Socket documented the theft capability and exfiltration infrastructure but didn't identify confirmed victims, attributable transactions, or a campaign loss total. Mozilla says it uses automated risk indicators and human review to catch malicious wallet add-ons, and advises users to install only extensions linked from the wallet provider's official site. It hasn't said whether these specific add-ons have been pulled or if a wider cleanup is in progress."
Hebrew: "Socket תיעדה את יכולת הגניבה ותשתית ההוצאה החוצה, אך לא זיהתה קורבנות מאומתים, עסקאות מיוחסות או סך הפסדים בקמפיין. Mozilla אומרת שהיא משתמשת במדדי סיכון אוטומטיים ובבדיקה אנושית כדי לתפוס תוספות ארנק זדוניות, ומייעצת למשתמשים להתקין רק הרחבות המקושרות מהאתר הרשמי של ספק הארנק. היא לא אמרה אם התוספות הספציפיות הללו הוסרו או אם מתבצע ניקוי רחב יותר."
We also have a closing paragraph: "For now, the safest move for anyone who used a Firefox wallet extension in the past few months is to treat it as compromised and start fresh." We need to include that. In the original content, it's the last paragraph. We'll translate: "לעת עתה, הצעד הבטוח ביותר עבור כל מי שהשתמש בהרחבת ארנק Firefox בחודשים האחרונים הוא להתייחס אליה כאל פרוצה ולהתחיל מחדש."
Now, we need to assemble the content in HTML. The original content had tags. We'll wrap the translated content in tags. We'll also include
