xmr.club
EN 中文 ES RU
★ FRONT-PAGECDexsport— Web3 crypto sportsbook + casino since 2021, No-KYC, accepts XMR (+38 coins). Read first: documented cancelled-winnings /→
/wallets · проверено 2026-10-21

XMRtab (Monero Wallet · Standalone)

F

Monero-кошелёк в виде расширения Chrome, сборка которого в магазине скрывает канал передачи данных на собственный сервер. Не устанавливайте; если установили — переведите средства в новый кошелёк.

⚠ INCIDENT
Хроника инцидента
  1. 2026-10-02 Public GitHub repository published at v2.3.0; no further commits.
  2. 2026-10-20 Chrome Web Store build updated to v2.4.0.
  3. 2026-10-21 xmr.club compares the store build with official monero-ts 0.11.15 and finds the hidden data channel; listed at F.
DO-NOT-USEBROWSER-EXTENSIONHIDDEN-CODE
⚠ Сообщить Markdown-двойник Поделиться ↗

Сводка

Оценка
F
Последняя проверка
2026-10-21
Работает с
2026-10 · 0y — GitHub account created 2026-09-30, repository 2026-10-02.
Инцидент
⚠ Активен с 2026-10-21 — /incidents
вердикт куратора · главный итог

Вердикт куратора и OpSec-анализ

ГЛАВНЫЙ ИТОГ

XMRtab (Monero Wallet · Standalone) имеет серьёзные сомнения по безопасности или прошлые инциденты. Не рекомендуется для важных задач приватности.

✓

Доказанные плюсы

  • ▸ Зарегистрированный сервис под регулярным наблюдением в каталоге Monero-кошелёк xmr.club.
⚠

OpSec-риски и нюансы

  • ▸ АКТИВНЫЙ ИНЦИДЕНТ (2026-10-21): Сборка из Chrome Web Store (v2.4.0) содержит код, которого нет в публичном репозитории: отдельно собранный движок кошелька с двумя лишними функциями и процедуру, которая каждые 90 секунд отправляет скрытую строку, порезанную на куски по 64 символа под видом запросов транзакций, на node.xmrtab.com вместе с отпечатком браузера — независимо от выбранного узла.
  • ▸ Только clearnet: нет официального .onion-зеркала; IP-адрес виден, если не используется VPN или Tor.
  • ▸ Небольшой стаж: запущен недавно (2026-10) с ограниченной проверкой в стрессовых условиях.

Обзор

Не пользуйтесь этим кошельком. «Monero Wallet · Standalone» (xmrtab.com) выдаёт себя за некастодиальный Monero-кошелёк с открытым кодом для Chrome на основе официальной библиотеки monero-ts. Сайт и код на GitHub выглядят чисто. Но версия, которую реально отдаёт Chrome Web Store, — не этот код.

Что мы нашли в версии из магазина. Мы скачали версию 2.4.0 напрямую из Chrome Web Store (ID расширения `lkabbmdknccomhhhfhnljhfpofnhhifm`, SHA-256 пакета `5d10f7fb0b260abc2338118717815e526683583cb073d0df38891a805e2bad0a`) и сравнили её с официальной monero-ts 0.11.15, которую она якобы использует:

  • Движок кошелька (код WebAssembly, где хранятся ваши ключи) собран отдельно и содержит две функции, которых нет в monero-ts: `get_node_health_state` и `set_node_health_device`.
  • Каждые 90 секунд расширение передаёт в движок отпечаток вашего браузера (user agent, языки, часовой пояс, число ядер, память, платформу), считывает обратно скрытую строку, режет её на куски по 64 символа и отправляет их на `node.xmrtab.com` под видом обычных запросов транзакций. Это происходит независимо от узла, выбранного в настройках.
  • Всё, что не удалось отправить, сохраняется в браузере и отправляется позже.
  • Ничего из этого нет в публичном репозитории на GitHub, который всё ещё на версии 2.3.0. Собственный файл «происхождения» расширения к тому же указывает неверный хеш исходного кода monero-ts.

Мы не расшифровали, что содержит скрытая строка. Скрытый канал внутри кода, который хранит ваши приватные ключи, не имеет невинного объяснения, поэтому мы считаем кошелёк вредоносным.

Если вы его установили. Считайте сид скомпрометированным. Создайте новый кошелёк в другом проверенном приложении (по возможности на чистом устройстве), переведите туда средства и удалите расширение.

Ссылки

Audit-trail — квитанции к редакционному заявлению

Отзывы — модерировано · правила

Отзывов ещё нет. Будьте первым.

Добавить отзыв

Честный нейтральный фидбэк приветствуется. Куратор одобряет до публикации. JS не нужен.

Что произошло? (необязательно, отметьте нужное)

Не пишите ID заказов, txid и адреса в тексте отзыва: всё похожее на ID скрывается при публикации.

Обязательно: тело отзыва. Честные описательные отзывы одобряются в течение дня. Маркетинг, оскорбления и брань отклоняются. Лимит 5 отправок в день на IP.