冒充 imToken 的 Chrome 插件骗局：伪装成颜色工具窃取助记词

近期，多家区块链安全监测机构曝光了一起针对加密货币用户的新型案件，一款伪装成实用Chrome浏览器颜色工具的恶意插件，正以极低的成本大量窃取用户的钱包助记词，让无数加密资产持有者陷入了资产被洗劫的恐慌。这款插件的链条并不复杂，犯罪分子先在Chrome网上应用店等主流插件分发平台上架伪造应用，将其描述成一款功能强大的网页取色、颜色对比工具，主打设计、开发场景下的便捷颜色识别功能，以此吸引设计师、前端开发等核心用户群体。为降低用户的警惕性，插件开发商还会精心设计官网介绍和真实的功能演示，公开透明地展示普通颜色工具的操作流程，甚至邀请“行业KOL”进行虚假测评，让这款恶意插件获得了远超同类正规工具的下载量和用户信任度。用户只要在Chrome浏览器中搜索关键词，就能轻松找到这款高排名的“颜色工具”插件，部分用户甚至会因为其“官方认证”标识（部分骗子会伪造Chrome官方认证徽章）而直接放松安全审查，完成下载安装。

当用户将这款恶意插件添加到Chrome浏览器后，它并不会立刻展现出恶意行为，而是采用了一种高度隐蔽的“静默采集”策略。插件会在后台持续监控用户的浏览器页面行为，一旦检测到用户打开了imToken、MetaMask等主流加密钱包的助记词输入页面，就会瞬间激活窃取程序。为了避免被用户察觉，它会在助记词输入时屏蔽页面的键盘输入监听，同时悄悄采集用户通过复制粘贴功能输入的助记词组合，还会截取页面的助记词显示截图，将这些敏感信息加密后传输到犯罪分子控制的境外服务器。更可怕的是，这款插件还具备“伪装消失”的能力，它不会在浏览器的插件管理列表中留下异常标识，甚至会在完成初次信息采集后自动修改自身代码，删除所有恶意操作痕迹，让用户事后完全无法溯源。据某安全机构的监测数据显示，短短三个月内，这款恶意插件就已经感染了超过12万Chrome用户，其中80%以上的受害者是imToken钱包的用户，单月被窃取的加密资产总价值超过了1200万美元，其中不乏持仓超过百万的大额持有者。

这类骗局之所以能在短时间内大面积传播，除了犯罪分子的伪装手段高超外，还和加密用户的安全意识薄弱密切相关。许多普通用户在使用Chrome插件时，往往不会仔细阅读权限申请说明，而这款恶意插件为了获取核心权限，会申请“访问所有网站数据”“在后台运行”等必要权限，这在普通工具插件中十分常见，导致用户根本不会产生怀疑。实际上，正规的颜色工具插件只会申请访问网页颜色信息的基础权限，并不会涉及访问用户输入的敏感数据，而imToken等加密钱包的助记词输入页面，本身就具备严格的安全防护机制，一般的网页脚本无法直接采集数据，这款恶意插件正是通过Chrome插件的高权限绕过了钱包的防护。对此，imToken官方也发布了紧急安全公告，提醒用户警惕所有非官方渠道的插件，尤其是声称“颜色工具”“网页取色”的Chrome应用，同时建议用户在输入助记词时使用加密键盘，避免复制粘贴操作，降低数据被窃取的风险。

针对这类新型的插件骗局，用户需要建立更严谨的安全防护习惯。所有涉及加密资产的操作都应该通过官方渠道下载插件，imToken、MetaMask等工具的Chrome插件只能在官方GitHub或Chrome网上应用店的官方开发者页面获取，下载后要仔细核对开发者信息和插件权限，拒绝安装任何非官方来源的应用。在使用Chrome插件时，要定期查看插件管理列表，检查每个插件的权限申请，对于涉及访问所有网站数据的非必要插件要及时卸载。当需要输入助记词时，务必选择在离线环境下操作，避免通过任何浏览器插件辅助输入，同时不要点击陌生来源的网页链接，防止点击到植入恶意脚本的钓鱼页面。Chrome浏览器用户还可以开启“插件隔离”功能，将每个插件的运行环境独立开来，减少恶意插件的传播范围，一旦发现异常插件要立即提交给Chrome官方进行封禁处理。