MEGA.nz Chrome扩展程序有恶意代码窃取私钥

ZDNet报告称，文件共享服务MEGA.nz的Chrome扩展程序一直托管恶意代码，该代码能够提取加密货币钱包的用户名，密码和私钥。问题是在MEGA.nz官方Chrome扩展程序的源代码中发现的。 MEGA.nz周二发布了更新。
分析师发现恶意代码在谷歌，微软，亚马逊和GitHub等网站上变得活跃。它还触发了诸如MyEtherWallet和MyMonero等加密货币钱包以及IDEX加密交换平台。
受感染的代码可以记录用户名和密码，从而允许黑客代表用户输入帐户。如果该网站支持像比特币这样的加密货币，攻击者也会窃取私钥来移动资金。然后，扩展将所有数据重定向到乌克兰托管的服务器。
Google工程师已经从其商店中删除了该扩展，并为当前用户禁用了该扩展。那些使用MEGA.nz扩展名的人可以检查以确保它已被禁用。他们还应该在目标服务上更改密码，并将加密资金转移到其他帐户。
第一个发现恶意代码的人是意大利开发人员，他为Monero Project工作，绰号为SerHack。
最初，Google和MEGA.nz对提供任何评论犹豫不决，但MEGA.nz发言人后来告诉ZDNet：
“我们想为这一重大事件道歉。我们目前正在调查Chrome网上商店帐户受损的确切性质。“
不久，这家总部位于新西兰的服务公司在其网站上发布了一篇博客文章，解释了这一情况，表达了对谷歌安全方法不佳的担忧。
“遗憾的是，谷歌决定不允许Chrome扩展程序上的发布商签名，现在只依靠在上传到Chrome网上商店后自动签名，这消除了外部妥协的重要障碍，”该博客写道。
在过去两年中，有几个扩展程序托管了恶意代码，可能允许黑客访问用户的加密货币资金。
今年4月，谷歌开始从其商店中删除加密货币挖掘扩展，阻止了新扩展的进入。