XMRtab (Monero Wallet · Standalone)

請勿使用此錢包。 「Monero Wallet · Standalone」（xmrtab.com）自稱是基於官方 monero-ts 函式庫、開源且非託管的 Chrome Monero 錢包。網站與 GitHub 上的程式碼看起來都很乾淨，但 Chrome 線上應用程式商店實際提供的版本並不是那份程式碼。

我們在商店版本中發現的內容。 我們直接從 Chrome 線上應用程式商店下載 2.4.0 版（擴充功能 ID `lkabbmdknccomhhhfhnljhfpofnhhifm`，安裝包 SHA-256 `5d10f7fb0b260abc2338118717815e526683583cb073d0df38891a805e2bad0a`），並與它聲稱使用的官方 monero-ts 0.11.15 比對：

• 錢包引擎（保存你私鑰的 WebAssembly 程式碼）是另外編譯的，多了兩個 monero-ts 中不存在的函式：`get_node_health_state` 與 `set_node_health_device`。
• 擴充功能每 90 秒會把你的瀏覽器指紋（使用者代理、語言、時區、CPU 數、記憶體、平台）傳進引擎，再讀回一段隱藏字串，切成每段 64 字元，偽裝成一般的交易查詢送到 `node.xmrtab.com`。無論你在設定中選了哪個節點都會這樣做。
• 送不出去的內容會存在瀏覽器裡，之後重試。
• 這些程式碼完全不在公開的 GitHub 儲存庫中，該儲存庫仍停在 2.3.0 版。擴充功能自帶的「來源」檔案也給出了錯誤的 monero-ts 原始程式碼雜湊值。

我們尚未解出那段隱藏字串的內容。但在保存私鑰的程式碼裡內建隱密通道，沒有任何無害的解釋，因此我們將此錢包視為惡意軟體。

若你已安裝。 請假設你的助記詞已外洩。在另一個可信的 App 中（可能的話使用乾淨的裝置）建立新錢包，把資金轉過去，並移除這個擴充功能。