谷歌下架49个恶意Chrome扩展，专攻Ledger等钱包窃取私钥

谷歌已下架49个恶意浏览器扩展程序，这些扩展伪装成加密货币钱包工具，暗中窃取用户的私钥、助记词和密钥库文件。安全研究员Harry Denley于本周二披露了这一发现，他来自开源以太坊钱包工具Mycrypto，担任安全总监。

恶意扩展如何运作？

Denley在博客中详细描述了攻击手法：49个扩展程序的外观与合法钱包扩展无异，但内部包含恶意代码。当用户在配置钱包时输入敏感数据，这些代码会截获信息并发送至攻击者控制的服务器或Google表单。部分扩展甚至通过虚假用户刷五星好评和正面反馈来掩盖其真实意图。Denley指出，这些扩展很可能由同一人或组织开发，且攻击者疑似位于俄罗斯。

受影响的钱包类型与攻击比例

被针对的钱包包括Ledger、Trezor、Jaxx、Electrum、MyEtherWallet、MetaMask、Exodus和Keepkey。其中，Ledger钱包遭受攻击的覆盖率最高，达到57%；其次是MyEtherWallet（22%）、Trezor（8%）、Electrum（4%）、Keepkey（4%），而Jaxx占2%。Denley测试时向少数地址发送了资金并输入密钥，发现资金并未被自动盗取，推测攻击者只对高价值账户感兴趣，或需要手动清空地址。

谷歌的响应与时间线

这些恶意扩展从2020年2月开始缓慢出现在Chrome网上应用店，随后在4月份大量涌现。Denley表示，在向谷歌报告后，这些扩展在24小时内均被移除。尽管如此，用户仍应警惕类似威胁，确认扩展来源的可靠性。建议用户仅通过官方钱包网站或信任的开发者渠道安装扩展，并定期检查已安装的扩展列表。

此次事件再次提醒加密货币用户：即使是官方应用商店中的扩展也可能存在风险。保持软件更新、使用硬件钱包、以及避免在浏览器中输入私钥是基本的安全准则。