# XMRtab (Monero Wallet · Standalone)

Categoría: wallets · Desktop
Grado: F
Destacados: DO-NOT-USE, BROWSER-EXTENSION, HIDDEN-CODE
Última verificación: 2026-10-21
Operando desde: 2026-10 (0y) — GitHub account created 2026-09-30, repository 2026-10-02.

## INCIDENTE (2026-10-21, severity: critical)
La versión de la Chrome Web Store (v2.4.0) contiene código que no está en el repositorio público: un motor de billetera compilado aparte con dos funciones extra y una rutina cada 90 segundos que envía una cadena oculta, cortada en trozos de 64 caracteres y disfrazada de consultas de transacciones, a node.xmrtab.com junto con una huella del navegador, sin importar el nodo elegido.

Consejo del curador: No la instales. Si lo hiciste, da por comprometida tu semilla: crea una billetera nueva en otra app de confianza, mueve tus fondos y elimina la extensión.
Fuente: https://chromewebstore.google.com/detail/lkabbmdknccomhhhfhnljhfpofnhhifm

> Billetera Monero como extensión de Chrome cuya versión de la tienda oculta un canal de datos hacia su propio servidor. No la instales; si lo hiciste, mueve tus fondos a una billetera nueva.

## Reseña

**No uses esta billetera.** "Monero Wallet · Standalone" (xmrtab.com) se presenta como una billetera Monero de código abierto y sin custodia para Chrome, basada en la biblioteca oficial monero-ts. La web y el código de GitHub parecen limpios. La versión que sirve realmente la Chrome Web Store no es ese código.

**Lo que encontramos en la versión de la tienda.** Descargamos la versión 2.4.0 directamente de la Chrome Web Store (ID de extensión `lkabbmdknccomhhhfhnljhfpofnhhifm`, SHA-256 del paquete `5d10f7fb0b260abc2338118717815e526683583cb073d0df38891a805e2bad0a`) y la comparamos con monero-ts 0.11.15 oficial, la versión que dice usar:

- El motor de la billetera (el código WebAssembly que guarda tus claves) fue compilado aparte y contiene dos funciones que no existen en monero-ts: `get_node_health_state` y `set_node_health_device`.
- Cada 90 segundos, la extensión pasa la huella de tu navegador (agente de usuario, idiomas, zona horaria, número de CPU, memoria, plataforma) al motor, lee de vuelta una cadena oculta, la corta en trozos de 64 caracteres y los envía a `node.xmrtab.com` disfrazados de consultas normales de transacciones. Lo hace sin importar qué nodo hayas elegido en los ajustes.
- Lo que no logra enviar se guarda en el navegador y se reintenta después.
- Nada de este código está en el repositorio público de GitHub, que sigue en la versión 2.3.0. El propio archivo de "procedencia" de la extensión además da un hash falso del código original de monero-ts.

No hemos descifrado qué contiene la cadena oculta. Un canal encubierto dentro del código que guarda tus claves privadas no tiene explicación inocente, así que tratamos la billetera como maliciosa.

**Si la instalaste.** Da por comprometida tu semilla. Crea una billetera nueva en otra aplicación de confianza (en un dispositivo limpio si puedes), mueve tus fondos a ella y elimina la extensión.

Fuente: https://xmr.club/es/wallets/xmrtab