下面这则是合成教学案例：人物、日期、金额都是我为了把这套骗术讲透而设的，不对应某一位具体读者。手法本身是真的 —— 山寨钱包扩展在你创建钱包时把助记词送走，再等余额够大才动手，这类事一直在发生。识别方法和善后步骤照做即可。
我装了一个「MetaMask」 · 用了 16 天什么事没有
故事里的主角叫 Daniel，是我把这些年见过的同类求助揉成的一个人。他 2025 年 6 月入加密圈，7 月 8 日想给自己装个钱包。他打开 Chrome Web Store 搜「MetaMask」 —— 出来三个名字都叫 MetaMask 的扩展。他选了图标更新一些、评分 4.7、安装数 1 万+ 的那个。下载、安装、点开。
界面跟教程里看到的一模一样。Create new wallet、备份 12 词、设置密码 —— 全流程顺畅。他用这扩展接 Aave 看了利率、用 Uniswap 模拟了一笔 swap、绑定了一个 Discord —— 一切正常。两周内他往这个钱包里转了几次零钱测试，每一笔都正常显示、正常收发。
第 16 天 · 我转了 6 ETH 准备开始 DeFi
2025 年 7 月 24 日，Daniel 觉得自己「准备好了」，从交易所提了 6 ETH 到这个钱包，准备投 Uniswap V3 流动性。提币确认到账，他打开 Uniswap，连钱包，准备添加流动性。3 小时后他刷新页面，钱包余额从 6 ETH 变成 0.012 ETH。他没签过任何东西、没批准过任何授权。
他第一反应是 Uniswap 自己出了问题。在区块浏览器查交易历史，发现是一笔来自他自己地址的普通 transfer，目标是个不认识的地址。他的钱包等于被人「直接控制」了。这种「不需要签名也能转账」只可能意味着一件事：私钥早就泄露了。
事后查 · 我下载的根本不是 MetaMask
Daniel 在 chrome://extensions/ 里打开那个扩展的详情页，对着三个字段一项一项看。真 MetaMask 的这三项是固定的：扩展 ID 是 nkbihfbeogaeaoehlefnkodbefgpgknn（Chrome 应用商店的详情页地址末尾就是这一串），名称 是 MetaMask，开发者 是 metamask.io。他装的那个，ID 完全是另一串 —— 名字再像、图标再像，也不是同一个扩展。三项里只要有一项对不上，就别用。
这类山寨扩展的套路大同小异：用户创建钱包的那一刻，本地的助记词在内存里被一个隐藏的 background script 加密后通过 HTTPS POST 到攻击者控制的 endpoint。攻击者拿到一批助记词后不立即动手，而是用脚本定时扫余额 —— 等到这个钱包余额到达「值得收割」的门槛才发起转账。Daniel 那 6 ETH 触发了门槛，3 小时后被横扫。
为什么「潜伏型」比「即时盗刷」更可怕
即时盗刷的好处是受害者立刻知道、能立刻报警、能立刻警告别人。潜伏型攻击受害者用了 16 天才发觉，很难第一时间想到是钱包本身出的问题 ——他这 16 天里访问过几百个网站、连过十几个 dApp、装过其他 7 个浏览器扩展，每一个都可能是嫌疑。Chrome 扩展开发者账号也已经被攻击者注销转移、Web Store 那个山寨扩展也被下架，平台溯源无门。
这类山寨扩展到底伤到过多少人、每户损失多少，公开信息里我没找到站得住的统计，也就不给你编一个数字 —— 它真正的特征是「等到余额够大才收割」的延迟：受害者在损失发生之前往往用得毫无察觉。Chrome Web Store 上同名扩展屡禁不绝，「潜伏型」也因此成了这几年钱包钓鱼里比较难防的一种。
下次怎么辨别
硬指标只有一个：扩展 ID。chrome://extensions/ → 找到那个扩展 → 点 Details → 看 ID 字段。真 MetaMask 是 nkbihfbeogaeaoehlefnkodbefgpgknn 这一串 32 字符，全网只此一份、不可复制。任何其他 ID 的「MetaMask」一律是假，不论名字、Logo、评分、安装数多像。
更稳的做法是不从 Chrome Web Store 直接搜，而是先访问 metamask.io 官网，从官网首页的「Install」按钮跳转 Chrome Web Store —— 这样你落到的就是官方自己指过去的那个页面，不用在搜索结果里赌。其他钱包（Phantom、Rabby、Trust Wallet）同理：先官网再 Store。
5 条可执行的识别信号
- Chrome Web Store 同名扩展并排多个 —— 默认假定全部是假，去官网核对
- 扩展 ID 不是 nkbihfbeogaeaoehlefnkodbefgpgknn —— 装之前对一下
- 扩展要求的权限「读取你访问的所有网站数据」 —— 真 MetaMask 也要这权限，但这意味着假的也能做到一切
- MetaMask 官方下载入口只有 metamask.io —— 从那里跳转 Web Store
- 详情页的「开发者」不是 metamask.io —— 名称可以山寨，开发者字段要一起对
已经装过了怎么办
卸扩展不代表安全 —— 助记词早就在攻击者手里。按《私钥泄露应急 · 五步抢救流程》全套五步走，激活一台新硬件钱包做新地址。原地址里剩下任何余额都视同已沦陷。
卸载扩展会连它的脚本一起删掉；但如果当初还按提示装过配套的桌面程序，那个要另外查杀。拿不准，就换一个全新浏览器 profile，或者干脆重装系统。Daniel 最后选择把整台笔记本重装系统，因为他不能确定那个扩展还有没有更深的渗透。
「我入圈第一个动作就是装钱包，第一个动作就错了。回头看，从 metamask.io 官网跳转 Web Store 只多一步，却正好绕开了最容易翻车的那一步 —— 在商店里自己挑。新人栽在「找钱包下载」上的，多半不是技术不够，是流程不对。」