一款基于谷歌浏览器的扩展程序 Shitcoin Wallet 近日被爆出窃取用户加密货币钱包密码及私钥。
据 zdnet 报道，一个谷歌浏览器的扩展程序近日被发现在网页中注入了 JavaScript 代码，该代码可以从加密货币钱包和加密货币门户窃取密码和私钥。该扩展程序名为 Shitcoin Wallet (Chrome 扩展 ID: ckkgmccefffnbbalkmbbgebbojjogffn)，于上月 12 月 9 日推出。
据了解，Shitcoin 钱包可以让用户管理 ETH，也可以管理基于 Ethereum erc20 的代。然而，钱包应用程序并不是 Shitcoin 钱包所承诺的那样安全。昨天，MyCrypto 平台的安全主管 Harry Denley 发现该扩展程序中包含恶意代码。
Denley 说，这个扩展程序对用户有两方面的危险。首先，在扩展程序内部管理资金 (以太坊或者是基于 erc20 的代币) 都有风险。Denley 表示，该扩展程序会将所有创建或管理的钱包的私钥通过其接口发送到位于 erc20wallet[.]tk 的第三方网站。其次，当用户导航到 5 个较知名的加密货币管理平台时，该扩展程同样会主动注入恶意 JavaScript 代码。并且通过这个代码窃取登录凭证（密码）和私匙，同时也会发送到相同 erc20wallet[.]tk 到第三方网站。
截止至 2020 年 1 月 1 日晚，Shitcoin Wallet 仍然可以通过官方的谷歌 Chrome 网络商店下载，并且商店显示已有 625 个安装记录。（区块律动）
