研究人員發現一個名為Shitcoin Wallet的Google Chrome擴充套件程式正在竊取密碼和錢包私鑰。

惡意擴充套件程式

一款Chrome名為Shitcoin Wallet的擴充套件被發現在網頁上注入了JavaScript程式碼，從加密貨幣錢包及入口網站竊取密碼和私鑰。

該Chrome擴充套件的ID為ckkgmccefffnbbalkmbbgebbojjogffn。

據介紹，Shitcoin Wallet被用於管理以太幣（ETH），也可以管理基於以太坊的代幣。如果使用者擔心瀏覽器的高風險環境，則可安裝Windows桌面應用。

以太幣是虛擬貨幣的一種，被視為“比特幣2.0版”，採用與比特幣不同的區塊鏈技術“以太坊”（Ethereum）。和其他數字貨幣一樣，以太幣可以在交易平臺上進行買賣。

近日，該錢包的擴充套件和應用程式被發現均包含惡意JavaScript程式碼，帶給使用者兩種危險。

一種是該擴充套件管理的任何資金都處在風險中，另一方面是該擴充套件會透過建立的特殊介面將私鑰和登入密碼傳送到第三方網站。

攻擊過程

根據分析，研究人員發現其攻擊過程如下：

• 使用者安裝Chrome擴充套件程式
• 該擴充套件程式請求在77個網站上注入JavaScript（JS）程式碼的許可權
• 當使用者導航到這77個站點的任意一個時，擴充套件程式都會從以下位置載入並注入其他JS檔案。
• 該JS檔案包含混淆的程式碼
• 該程式碼啟用五個網站：MyEtherWallet.com，Idex.Market，Binance.org，NeoTracker.io，並Switcheo.exchange
• 一旦啟用，惡意JS程式碼就會記錄使用者的登入憑據，並搜尋在這五個站點中的私鑰，最終將資料傳送給攻擊者。

目前，該擴充套件程式仍可透過官方Google Chrome Web Store下載。

不止如此，該應用程式可以逃過防病毒軟體的掃描和檢測，但從使用者評論可以看出，該應用程式和擴充套件包含相似的惡意程式碼。

軟硬錢包選擇

近年來，加密貨幣被盜事件頻頻發生，其中最主要的原因就是賬戶資訊不夠安全。於是越來越多的人選擇使用錢包幫助自己管理虛擬資產。

又一個管理虛擬貨幣的軟錢包的倒下，讓人不禁思考：把資產交給軟體管理是否靠譜？對於虛擬貨幣的管理，究竟是要選擇硬體錢包還是軟體錢包呢？

總結已發生的事件我們可以發現，不管是交易所被盜還是個人賬戶被盜，交易頻次多和賬號資訊儲存在網路上都是兩個重要因素。

軟體錢包雖然使用起來方便，但由於資訊連線網路，免不了會遭受駭客攻擊，安全係數低。

硬錢包隔絕了網路，用隨身碟或電腦儲存加密貨幣私鑰，讓加密資產更安全，從這方面來看，硬錢包的安全性比軟錢包高上幾個數量級，但並非所有硬錢包都是安全的，不管是國內產品還是國外產品皆是如此。

總而言之，金融科技的浪潮下，沒有人可以擁有無懈可擊的安全體驗，潛在風險始終存在，但是隨著加密領域的不斷髮展，科學技術的日新月異，作為普通使用者的我們，透過學習新知識，總結舊經驗，依然能避免許多潛在風險。

* 本文由看雪編輯 LYA 編譯自ZDNet，轉載請註明來源及作者。

* 原文連結：

https://www.zdnet.com/article/chrome-extension-caught-stealing-crypto-wallet-private-keys/