Web5kol 48Club

大家好，我是web5kol
大家平时用钱包扩展多吗？ 我猜不少人跟我一样，装完 MetaMask 或者 Phantom 之后，就把它当成浏览器里一个理所当然存在的东西，平时根本不会再去想它安不安全。
我先说个背景。 浏览器钱包扩展现在真的不是小众工具了。 MetaMask 账户数到 1.43 亿，月活长期在 3000 万以上； Phantom 总用户超过 1500 万； Rabby 月活大概 200 万。 还有个估计是，全球差不多每四个成年人里，就有一个人至少用过一次自托管钱包。 而浏览器热钱包，还是最主要的入口之一。
问题就在这儿。 这个东西不是普通插件，它手里拿着私钥，你每笔交易它都要签名，你跟所有 dApp 打交道都得经过它。 它就像一把常驻在浏览器工具栏里的钥匙。 可大多数人装完之后，就默认它是安全的，很少再回头看一眼。
但已有的研究其实挺不乐观的。 有一项叫 WalletRadar 的研究，自动化分析了 96 个流行浏览器钱包，结果 90% 的样本都检测到了安全问题，最后在 70 个钱包里发现了 116 个漏洞。 也就是说，超过七成的钱包至少有一个能被识别出来的漏洞。 还有研究看加密货币主题的恶意扩展，发现只有 15.6% 能被至少一款杀毒引擎检测到。 传统杀毒软件在这个地方，基本是半失效的。 再往大图景看，2025 年超过 20% 的加密相关漏洞利用，目标指向的是浏览器和钱包扩展层。 攻击者不一定非要攻破区块链，攻破你浏览器里那个被信任的扩展就够了。
漏洞一般出在哪儿呢？ 也不是特别神秘。 一个是权限，很多扩展安装时要“读取和更改你在所有网站上的数据”，你一点同意，它就一直有这把万能钥匙。
另一个是自动更新，本来是为了修漏洞，但开发者账号一被攻破，或者上游依赖被污染，恶意代码就能通过官方更新通道推到成千上万个已经认证过的用户浏览器里。
Trust Wallet 那个事就是这么来的：攻击者拿到 Chrome Web Store API 密钥，在 v2.68 版本里植入后门，用户一解锁钱包，助记词就传到攻击者服务器，最后损失大概 850 万美元，2500 多个钱包受影响。 还有私钥在扩展环境里暴露的问题，BitsLab 2025 年 12 月披露过，十几个头部插件钱包，包括 Coinbase Wallet 和 Binance Wallet，都有能被用来直接盗私钥的漏洞。
头部产品都这样，长尾的就更不好说了。 再就是盲签，弹窗里一串十六进制，用户看不懂，点确认就完事，Drainer 工具就爱利用这个。
所以我这次干脆扫了一百个谷歌浏览器上的钱包扩展。 我不是只盯着已经出事的，也不是默认“头部就安全”。 我就是想把商店里普通用户真能装到的钱包扩展，当成一个整体来看看，它们到底暴露了多大的攻击面。 接下来我就按扫描结果，一项一项跟大家说。