# XMRtab (Monero Wallet · Standalone)

分類: wallets · Desktop
等級: F
亮點: DO-NOT-USE, BROWSER-EXTENSION, HIDDEN-CODE
最後驗證: 2026-10-21
營運起始: 2026-10 (0y) — GitHub account created 2026-09-30, repository 2026-10-02.

## 事件 (2026-10-21, severity: critical)
Chrome 線上應用程式商店版本（v2.4.0）含有公開儲存庫中沒有的程式碼：另外編譯、多了兩個函式的錢包引擎，以及每 90 秒執行的程序，會把一段隱藏字串切成 64 字元的片段、偽裝成交易查詢，連同瀏覽器指紋送到 node.xmrtab.com，無論你選了哪個節點。

策展人建議: 請勿安裝。若已安裝，請視助記詞已外洩：在另一個可信的 App 建立新錢包、轉移資金，並移除此擴充功能。
來源: https://chromewebstore.google.com/detail/lkabbmdknccomhhhfhnljhfpofnhhifm

> 以 Chrome 擴充功能形式提供的 Monero 錢包，其商店版本暗藏一條傳資料到自家伺服器的通道。請勿安裝；若已安裝，請把資金轉到新錢包。

## 評測

**請勿使用此錢包。** 「Monero Wallet · Standalone」（xmrtab.com）自稱是基於官方 monero-ts 函式庫、開源且非託管的 Chrome Monero 錢包。網站與 GitHub 上的程式碼看起來都很乾淨，但 Chrome 線上應用程式商店實際提供的版本並不是那份程式碼。

**我們在商店版本中發現的內容。** 我們直接從 Chrome 線上應用程式商店下載 2.4.0 版（擴充功能 ID `lkabbmdknccomhhhfhnljhfpofnhhifm`，安裝包 SHA-256 `5d10f7fb0b260abc2338118717815e526683583cb073d0df38891a805e2bad0a`），並與它聲稱使用的官方 monero-ts 0.11.15 比對：

- 錢包引擎（保存你私鑰的 WebAssembly 程式碼）是另外編譯的，多了兩個 monero-ts 中不存在的函式：`get_node_health_state` 與 `set_node_health_device`。
- 擴充功能每 90 秒會把你的瀏覽器指紋（使用者代理、語言、時區、CPU 數、記憶體、平台）傳進引擎，再讀回一段隱藏字串，切成每段 64 字元，偽裝成一般的交易查詢送到 `node.xmrtab.com`。無論你在設定中選了哪個節點都會這樣做。
- 送不出去的內容會存在瀏覽器裡，之後重試。
- 這些程式碼完全不在公開的 GitHub 儲存庫中，該儲存庫仍停在 2.3.0 版。擴充功能自帶的「來源」檔案也給出了錯誤的 monero-ts 原始程式碼雜湊值。

我們尚未解出那段隱藏字串的內容。但在保存私鑰的程式碼裡內建隱密通道，沒有任何無害的解釋，因此我們將此錢包視為惡意軟體。

**若你已安裝。** 請假設你的助記詞已外洩。在另一個可信的 App 中（可能的話使用乾淨的裝置）建立新錢包，把資金轉過去，並移除這個擴充功能。

來源: https://xmr.club/zh/wallets/xmrtab