门罗币钱包盗窃案调查
对一款门罗币网络钱包的深入取证调查，该钱包将您的私有查看密钥通过Base64编码转换为一个 session_key
token，在每次会话中通过 40 多次 API 请求泄露该 token，随后通过
以下方式使您的交易失效：
raw_tx = 0
并对其进行重建以盗取您的资金。该活动自2016年起持续至今。运营者
身份已确认。
xmrwallet.com 该服务宣称是一款免费的、 开源的、客户端式的门罗币钱包。无需下载，无需 注册。其《服务条款》中明确声明：
这是谎言。我们的取证分析——包括网络数据抓包、 JavaScript 去混淆以及生产环境代码对比—— 证明了恰恰相反的情况。在 xmrwallet.com 上输入的每个密钥都会 被窃取。每笔交易都可能被劫持。
该 公开的 GitHub 仓库 自那时以来，该分支尚未收到任何提交 2018年11月. 生产环境运行的 代码与代码库中完全不同，且包含代码库中未记录的参数： ：
通过以下方式注册的域名 NameSilo 2016年——通过……预付 2031. 注册“自由独立项目”已有十五年。
当您登录 xmrwallet.com 时，您的私有查看密钥会被 Base64 编码并嵌入到一个 session_key 令牌。随后，该令牌将与 每一个 API 请求 — 单次训练中超过40次。
Firefox WebExtension 的网络抓包结果证实，该令牌确实被发送了 6 个不同的 API 端点 每个会话共计 40 多次 POST 请求：
| API 端点 | 请求 / 会话 | 泄露 session_key |
|---|---|---|
/api/getheightsync | 12 | 是的 |
/api/gettransactions | 10 | 是的 |
/api/getbalance | 6 | 是的 |
/api/getsubaddresses | 4 | 是的 |
/api/getoutputs | 3 | 是的 |
/api/support_login | 1 | 是的 |
单次登录会话会将您的私有查看密钥发送至服务器 至少36次. 服务器在执行这些操作时并不需要您的密钥——余额查询和高度同步都是公开的区块链查询。没有任何正当理由需要传输密钥材料。完整的网络抓包证据： xmrwallet GitHub 问题 #36 — 查看密钥外泄证据.
密钥窃取使攻击者能够 观看 你的钱包。但 xmrwallet.com 更进一步——它会实时窃取你的资金。经过去混淆处理的正式版 JavaScript 代码揭示了一套 5 步攻击流程：
您的钱包显示“交易已发送”。您的资金到达了攻击者的地址。受害者看到 “未知交易 ID” 当他们在区块浏览器上尝试验证时。内部标记为 swept 是被盗的那些。
raw_tx_and_hash.raw = 0 这意味着客户端生成的交易会被丢弃。服务器会使用你的密钥构建一个全新的交易，并将你的 XMR 发送给攻击者。你看到的“成功”提示其实是虚假的。详细代码分析： xmrwallet GitHub 问题 #35 — 交易劫持证明.
xmrwallet.com 维护了一个公开的 GitHub 代码库，以显得合法。该代码库只是个幌子。自那时以来，它就再也没有被更新过 2018年11月. 生产环境运行的是完全不同的、经过混淆的代码。
生产基地包括 /support_login.html — 一个完全未出现在 GitHub 代码库中的隐藏管理端点。结合 Google 标签管理器（GTM 容器） 通过该集成，运维人员可以随时在运行中的网站上远程注入和修改 JavaScript 代码——而无需更新公开的代码库。这是一种伪装成分析功能的远程代码执行途径。
xmrwallet.com 并未使用廉价的共享主机。它运行在经过精心挑选的高端、坚不可摧的基础设施上，旨在抵御关停请求和执法部门的干预。
| 指标 | 值 |
|---|---|
| 域名 | xmrwallet.com |
| 注册处 | NameSilo（2016 – 2031，15年注册期） |
| 主机服务商 | IQWEB FZ-LLC（每月550美元起） |
| IP地址 | 186.2.165.49 |
| ASN | AS59692 |
| CDN / DDoS防护 | DDoS-Guard |
| Web 服务器 | Apache 2.4.58（Ubuntu） |
| 后端 | PHP 8.2.29 |
| SSL证书 | Let's Encrypt（自动续期） |
| Tor 镜像 | xmrwalletdatuxms.onion |
| 年度基础设施成本 | $8,000 – $15,000+ |
| 追踪器 | 请求 / 会话 | 标识符 |
|---|---|---|
| Google 标签管理器 | 12 | GTM 容器 |
| Google Analytics (UA) | 12 | UA-116766241-1 |
| Google Analytics 4 | 5 | GA4 数据流 |
| DoubleClick | 1 | 广告跟踪像素 |
| DDoS-Guard Cookie | — | __ddg8_, __ddg9_, __ddg10_, __ddg1_ |
一个合法的免费钱包不会每月花费550美元以上，使用由DDoS-Guard保护的IQWEB FZ-LLC防弹主机——这套基础设施专为抵御滥用投诉和执法部门的传票而设计。它也不会注册一个有效期长达15年的域名。 它也不会在一款“注重隐私”的门罗币钱包上运行 Google Analytics 追踪功能。这一基础设施的构建仅有一个目的： 大规模且持续的盗窃行为.
开源情报显示，xmrwallet.com 的基础设施可直接追溯到某位个人。
| 字段 | 详情 |
|---|---|
| 姓名 | 娜塔莉·罗伊 |
| 位置 | 加拿大 |
| GitHub 用户名 | nathroy (ID: 39167759) |
| GitHub 组织 | xmrwallet （创建于 2018-05-10） |
| 电子邮件（管理员） | admin@xmrwallet.com |
| 电子邮件（个人） | royn5094@protonmail.com |
| u/WiseSolution （被r/Monero禁言） | |
| @xmrwalletcom | |
| 邮件服务器 (MX) | mail.privateemail.com |
娜塔莉·罗伊被禁止参加官方 r/Monero 子版块 2018年，该网站曾用于推广 xmrwallet.com。GitHub 上的最后一次提交发生在同年。6年多来，公开的源代码一直处于冻结状态，而实际运行的网站却使用完全不同的代码积极窃取资金。该域名的注册有效期已续至2031年——运营方显然不会轻易离开。
至少 15例公开报告的病例 在Trustpilot、Sitejabber、Reddit和GitHub Issues上，有关资金被盗的报告层出不穷。真实的人。真金白银。一去不复返。
该运营方正在主动删除GitHub Issues上的受害者报告（#13之前的所有问题都已消失）。该网站声称接受捐赠，但 从未公布过任何捐赠钱包地址. 一个每年花费8K-$15K的“独立项目”为什么会拒绝捐款？因为其收入来自盗窃。
通过 NameSilo 注册，使用 15年的注册期限 (2016-2031)。作为一款免费的开源门罗币网络钱包推出。
xmrwallet GitHub 组织创建于 2018-05-10 作者：nathroy（ID：39167759）。以“透明度作秀”为名推送的公开代码。
操作员 u/WiseSolution 被r/Monero禁言 用于推广垃圾信息。大约在这个时间点的最后一次 GitHub 提交。受害者的问题报告开始被删除（问题 #1-#12 已消失）。
公开代码库已被冻结。生产环境代码与之完全不同，包含混淆的 JavaScript 代码、未记录的参数以及后门端点。Trustpilot 和 Reddit 上关于受害者的报告不断增加。
完整技术报告已发布。xmrwallet.com 仍可访问。域名已通过 2031. DDoS-Guard 具备抗关停能力。
本文中的每一项论点都有公开可验证的证据作为依据。请下载相关报告，验证代码，并亲自检查网络抓包数据。
切勿在任何网络钱包中输入私钥。 就这样。请使用经过验证和审计、并在您的设备上本地运行的软件。
切勿在以下位置输入您的助记词、私钥或查看密钥： 任何网站. 正规的钱包在本地运行——它们绝不会将您的密钥发送至服务器。如果某个网页钱包要求您提供私钥，那肯定是骗局。为了获得最高安全性，请使用配备官方门罗币软件的硬件钱包（如Ledger、Trezor）。
