浏览器插件也会偷币：AVAX用户如何避开恶意扩展、假钱包与要助记词的假空投

很多雪崩用户用 Core、MetaMask 等浏览器插件钱包管理 AVAX，同一个浏览器里往往还装着翻译、截图、行情提醒之类的各种扩展程序。你有没有想过，其中某一个扩展可能正在读取你的网页内容、记录你的输入，甚至等待你打开钱包？今年8月，安全公司 Socket 披露了19个能盗取加密钱包和密码的 Chrome 扩展，其中有5个原本是正规开发者的产品，被黑客买下后植入了恶意代码。本文讲清楚恶意扩展、假钱包和假空投网站这三类“浏览器端”风险，以及 AVAX 持有者的自查与防护方法。

案例：19个扩展，5个是“被收购后变坏”的

据 Android Headlines 9月1日的报道，Socket 在8月27日公布调查结果：19个上架 Chrome 应用商店（其中一个为 Edge 扩展）的扩展程序，表面上是屏幕取词、PDF 加密、网站流量分析、加密货币行情提醒、多链区块浏览器、钱包查询等工具，实际上会注入恶意模块，能够清空 Solana、波场和 EVM 系钱包里的资产，同时窃取社交账号信息、记录网页上输入的账号密码，并收集浏览历史。

其中最值得警惕的一点是：前5个扩展原本是正规开发者发布的正常产品，后来被攻击者购买，再推送了带有恶意代码的更新。也就是说，一个你用了很久、评价不错的扩展，也可能在某次自动更新后变成盗号工具。报道称，这19个扩展已全部从 Chrome 应用商店下架，但曾经安装过的用户仍可能面临风险。

雪崩的 C 链是 EVM 兼容链，Core、MetaMask 中的 AVAX 和 C 链代币都属于这类恶意扩展能够针对的资产范围。

风险一：恶意或被收购的浏览器扩展

浏览器扩展通常会申请“读取和更改你访问的所有网站上的数据”之类的权限。权限一旦给出，扩展就能看到你在网页上输入的内容、篡改网页显示的地址，甚至在你打开 DApp 时插入伪造的交易请求。防护要点：

• 钱包浏览器专用：用一个单独的浏览器或浏览器用户配置文件专门放钱包插件，里面不装任何其他扩展；
• 定期清理扩展：删除不再使用的扩展，尤其是功能可以被网页替代的小工具；对小团队或个人开发的扩展保持谨慎；
• 留意权限变化和所有者变更：扩展更新后突然要求新权限、开发者名称变了，都是危险信号；
• “加密工具类”扩展更要小心：Socket 披露的名单里有多个以“行情”“地址监控”“钱包检查”“多链浏览器”为名的扩展，专门瞄准加密用户。

风险二：假钱包和假下载

雪崩官方支持中心在关于钓鱼诈骗的文章中，把“恶意下载”列为常见手法之一：伪装成钱包、工具或升级程序的恶意软件。最常见的形式是搜索引擎广告和社交媒体链接里的“Core 钱包下载”“AVAX 钱包升级”，下载后其实是仿冒钱包，用户导入助记词的那一刻资产就已经暴露。

• 只从官方网站或官方网站给出的应用商店链接下载钱包。雪崩官方支持中心页面链接的官方域名包括 avax.network 及其子域名、core.app；
• 把官方网址存成书签，以后都从书签进入，不要从搜索结果或广告里点；
• 浏览器应用商店里同名的钱包插件可能有好几个，安装前核对开发者名称、下载量和官网上给出的商店链接是否一致。

风险三：要你输入助记词的“空投”网站

PCrisk 的分析介绍过一类仿冒雪崩官网的“AVAX 空投”网站，曾出现过 ava-earn、avafinance、ava-claim、avaprize 等域名。它们声称给活跃社区成员发放空投，通过被入侵的网站、社交媒体垃圾信息和弹窗广告引流；用户点击“领取”时，页面要求“连接钱包”，实际上是让你输入助记词。助记词一提交，钱包就归骗子了。

雪崩官方的说法很明确：雪崩团队成员永远不会索要你的私钥或个人信息。任何正规的空投都只需要钱包签名（而且签名前也要看清内容），绝不需要输入助记词。

自查清单：现在就可以做的五件事

1. 检查浏览器扩展列表：打开浏览器的扩展管理页面，逐个确认每个扩展你是否认识、是否还在用，删掉可疑和不用的；
2. 对照已曝光名单：如果曾安装过 Socket 名单中的扩展（例如 Blockfolio: Address Monitor、Multi-Chain Explorer、LedgerLook: Wallet Checker、Crypto Rates & Fiat Converter 等），应假定密码和浏览器数据已泄露，修改重要账户密码；
3. 评估钱包是否需要迁移：如果在装有可疑扩展的浏览器里输入过助记词或私钥，就把资产转到一个在干净设备上新建的钱包；
4. 检查授权：在 Core 或区块浏览器中查看 C 链上的代币授权，撤销不认识的授权（本站此前的签名钓鱼专文有详细步骤）；
5. 大额资产用硬件钱包：雪崩官方也建议尽量使用硬件钱包，即使电脑被植入恶意程序，没有设备上的确认也无法转走资产。

小结

钱包安全不只取决于钱包本身，还取决于它所在的浏览器环境。被收购的正规扩展、仿冒的钱包下载、要求输入助记词的空投页面，是当前最常见的三类浏览器端风险。给钱包一个干净的“专用浏览器”，只从官方渠道下载，永远不在网页上输入助记词，再加上硬件钱包，大部分此类攻击都可以挡在门外。

参考来源

• Android Headlines：19 Chrome extensions were discovered to be crypto-stealing malware（2026-09-01）
• Cybersecurity News：19 Chrome and Edge Extensions Caught Stealing Crypto Wallets and Passwords（2026-08）
• Avalanche 官方支持中心：What are phishing scams?
• PCrisk：How to avoid getting scammed by fake "Avalanche (AVAX) Airdrop" sites（2025-08-08 更新）