区块律动 BlockBeats 消息，一款基于谷歌浏览器的扩展程序 Shitcoin Wallet 近日被爆出窃取用户加密货币钱包密码及私钥。
据 zdnet 报道，一个谷歌浏览器的扩展程序近日被发现在网页中注入了 JavaScript 代码，该代码可以从加密货币钱包和加密货币门户窃取密码和私钥。该扩展程序名为 Shitcoin Wallet (Chrome 扩展 ID: ckkgmccefffnbbalkmbbgebbojjogffn)，于上月 12 月 9 日推出。
据了解，Shitcoin 钱包可以让用户管理 ETH，也可以管理基于 Ethereum erc20 的代。然而，钱包应用程序并不是 Shitcoin 钱包所承诺的那样安全。昨天，MyCrypto 平台的安全主管 Harry Denley 发现该扩展程序中包含恶意代码。
Denley 说，这个扩展程序对用户有两方面的危险。首先，在扩展程序内部管理资金 (以太坊或者是基于 erc20 的代币) 都有风险。Denley 表示，该扩展程序会将所有创建或管理的钱包的私钥通过其接口发送到位于 erc20wallet[.]tk 的第三方网站。其次，当用户导航到 5 个较知名的加密货币管理平台时，该扩展程同样会主动注入恶意 JavaScript 代码。并且通过这个代码窃取登录凭证（密码）和私匙，同时也会发送到相同 erc20wallet[.]tk 到第三方网站。
截止至 2020 年 1 月 1 日晚，Shitcoin Wallet 仍然可以通过官方的谷歌 Chrome 网络商店下载，并且商店显示已有 625 个安装记录。
原文地址：https://www.zdnet.com/article/chrome-extension-caught-stealing-crypto-wallet-private-keys/
区块律动 BlockBeats 提醒，根据银保监会等五部门于 2018 年 8 月发布《关于防范以「虚拟货币」「区块链」名义进行非法集资的风险提示》的文件，请广大公众理性看待区块链，不要盲目相信天花乱坠的承诺，树立正确的货币观念和投资理念，切实提高风险意识；对发现的违法犯罪线索，可积极向有关部门举报反映。