chrome

ChainCatcher 消息，谷歌于 2026 年 11 月 9 日面向桌面端 Chrome 浏览器发布紧急稳定通道更新，修复了包括一个已在野被利用的零日漏洞在内的 9 个安全缺陷。此次更新将 Windows 与 Mac 平台 Chrome 版本推升至 157.8103.5/.51，Linux 平台推升至 157.8103.5，并将在未来数天至数周内逐步推送。本次更新的核心焦点是编号为 CVE-2026-125350 的高危漏洞，类型为 XML 组件中的释放后使用（use-after-free）。谷歌在公告中明确表示，“已知悉 CVE-2026-125350 存在在野利用”，但未披露具体的攻击方式、受害规模或攻击活动归属。该漏洞由一名匿名研究员于 2026 年 11 月 6 日报告，距谷歌发布修复补丁仅间隔 3 天。在全部 9 个修复项中，7 个为“高危”级别，2 个为“中危”级别。除 CVE-2026-125350 外，另一高危漏洞 CVE-2026-125346 同样为 XML 组件的释放后使用问题，由 Neonix Security 的 Arni Hardarson 于 2026 年 10 月 12 日报告，但谷歌仅将 CVE-2026-125350 标记为在野利用漏洞。其余高危漏洞涵盖 WebGL 未初始化资源、FileSystem 授权不当、合成器缓冲区溢出、GPU 越界写入以及 V8 类型混淆等，多数由谷歌内部安全团队发现。谷歌同时确认，同日发布的 Android 版 Chrome（157.8103.5）包含与桌面版相同的安全修复，未作例外说明。使用扩展稳定通道（Extended Stable）的用户则应安装 11 月 9 日单独发布的更新，Windows 与 Mac 版本为 156.8078.96，该更新同样将 CVE-2026-125350 列入高危修复项。香港政府电脑保安事故协调中心（GovCERT.HK）同日发布安全警报，将受影响系统界定为 Chrome 157.8103.5 之前的版本，并指出成功利用相关漏洞可能导致远程代码执行、拒绝服务、篡改或安全限制绕过。香港电脑保安事故协调中心（HKCERT）则将此次更新的风险等级评为“极高风险”。谷歌在公告中说明，对漏洞细节和链接的访问可能会在大多数用户完成更新前保持受限。该公司建议用户通过“设置 → 关于 Chrome”手动检查并触发更新，完成更新后需重启浏览器以使补丁生效。对于仍运行 Chrome 157.8103.5 之前版本的用户，当前的首要操作是确认版本号并立即重启完成升级。

ChainCatcher 消息，Google 周三宣布，Chrome 浏览器上线“增强自动填充”功能，可通过 Gemini 调用 Personal Intelligence，检索用户 Gmail 中的订单号、物流追踪信息和航班预订信息，并在网页表单需要时给出填充建议。该功能面向已开启 Personal Intelligence 的美国用户，覆盖桌面端、Android 和 iOS，Google 未公布其他国家和地区的上线时间。Google 在公告中仅列出上述三类来自 Gmail 的数据。信用卡号和地址仍属于 Chrome 标准自动填充，来源于用户已保存在浏览器中的信息，公告并未说明新功能会从收件箱提取这些内容。Chrome 产品经理 Amanda Lim 表示，用户可在 Chrome 设置中管理增强自动填充是否启用及其可访问的数据，敏感数据会加密，用户保持控制权。隐私方面，Google 此前表示 Gemini 和 AI Mode 不会直接使用用户的 Gmail 收件箱或 Google Photos 图库进行训练，用户可自行选择是否连接应用并随时关闭，但 Google 会使用特定提示词和模型回复等有限信息进行训练。Google 还于 10 月 16 日修订隐私政策，新增例外条款：若用户选择将 Gmail、Drive 和 Photos 内容提供给支持个性化广告的其他 Google 服务，相关数据可用于个性化广告；Google 称默认不用于广告定向，广告主无法获取这些内容。Chrome 约占浏览器市场 65% 份额。

ChainCatcher 消息，加密交易平台 Kraken 旗下自托管钱包 Kraken Wallet 在 X 发文称，Kraken Wallet 浏览器扩展已经上线。官方随后给出 Chrome 网上应用店下载入口，用户可在浏览器中安装使用。Kraken Wallet 产品负责人 Washington Sanchez 介绍，该扩展支持比特币、以太坊、Solana、Ink、Base、Robinhood Chain 等多条网络。用户可通过助记词或私钥创建和导入钱包，私钥支持包括 BIP39，也可使用仅观察钱包，或以邮箱、Google、Apple 及通行密钥登录。扩展内支持单链与跨链兑换及跨链桥接，手续费为 10 个基点。

ChainCatcher 消息，据 Lookonchain 监测，由 Binance Australia 前联合创始人兼前 CEO Jeff Yew 创立的澳大利亚数字资产管理公司 Monochrome Exchange 已上线 MCR 代币 IEO，截至目前已筹集超过 550 万 USDT。 MCR 总供应量为 2.1 亿枚，其中 5% 即 1050 万枚用于本次公开 IEO。IEO 代币将在 TGE 后锁定 1 个月，随后 3 个月线性释放。MCR 持有者可获得现货及衍生品交易手续费折扣、Digital IPO 及代币发行的优先申购权，并可通过质押获得奖励、提升 Launchpad 配额权重及参与节点计划，同时通过 Monochrome DAO 参与平台治理。 每季度将 20% 的平台净利润用于公开市场回购 MCR 并销毁，同时将 25% 的 Digital IPO 手续费收入纳入季度回购销毁资金，旨在通过平台业务增长推动 MCR 流通供应持续减少。 2021 年 9 月 13 日，Monochrome 宣布完成 180 万美元 A 轮融资，莱特币创始人李启威、Blockstream 首席战略官 Samson Mow、前 Binance 首席财务官 Wei Zhou 以及 Blueshyft 和 DeFi 协议 Synthetix 的创始人 Kain Warwick 联合领投，投后估值约为 1500 万美元。 2022 年 8 月 18 日，Monochrome Asset Management 已获该国首个金融服务许可证（AFSL），将用于发行加密相关的交易平台交易基金（ETF）。

ChainCatcher 消息，据 Decrypt 报道，谷歌已修复 Chrome 浏览器中一个被黑客利用的高危漏洞 CVE-2026-85046，该漏洞存在于 V8 引擎中，用于运行 JavaScript 和 WebAssembly。 谷歌证实该漏洞已被野外利用，但未披露攻击者身份、目标或漏洞具体利用方式。补丁已包含在 Chrome 152.7977.82/83 版本中，将在未来数天或数周内推送。 该漏洞由安全研究员 Salvatore Gulizia 于 8 月 4 日报告，谷歌奖励其 1,000 美元漏洞赏金。此次更新共包含 12 项安全修复，其中 9 项为高危、2 项为中危。谷歌尚未将此次漏洞与加密资产盗窃事件关联，但浏览器钱包、交易所账户和交易扩展此前已通过其他方式成为攻击目标。

ChainCatcher 消息，据 Chrome 应用商店最新官方公告，平台将于 2026 年 8 月 1 日起正式执行更新后的开发者计划政策。本次更新在受管制的商品和服务中明确划定了界限，将“预测市场”列入禁止的产品类别，严禁任何扩展程序提供、便利或支持对预测结果进行真金交易。 此外，新规还进一步收紧了数据隐私与 AI 安全标准。政策要求扩展程序收集的用户数据必须严格且唯一地用于其披露的单一用途，若数据处理方式发生变更需主动通知用户；同时，明确禁止旨在规避 AI 驱动型服务安全防护、使用限制等保护机制的扩展程序。8 月 1 日之后，若发现扩展程序不符合上述政策，Chrome 应用商店将采取强制执行措施。

ChainCatcher 消息，慢雾发布安全预警称，发现一起针对 TRON 钱包用户的高危钓鱼活动。攻击者创建了假冒 TronLink 钱包的 Chrome 扩展程序，利用 Unicode 双向控制字符和西里尔字母同形异义字伪装品牌名称。安装后，该扩展通过远程 iframe 加载完整钓鱼页面，形成“外壳-核心分离”的凭证窃取链。 恶意扩展名称使用同形异义字伪装，其 Chrome 商店页面继承真实扩展的高用户数和好评，降低了审查门槛。本地代码极少，仅加载远程页面，使静态分析几乎无法检测恶意行为。远程钓鱼页面完美复刻官方 TronLink 网页钱包界面，窃取助记词、私钥、Keystore 文件和密码，并通过 Telegram Bot 实时回传。 内置反分析功能禁用右键、开发者工具、拖放和打印，并根据俄语用户的地理和语言设置重定向以规避检测。SlowMist 建议立即卸载可疑扩展，并清理本地存储、检查异常流量，如已输入凭证应立即创建新钱包并转移资产。

ChainCatcher 消息，据 GoPlus 援引 Koi 报告，Anthropic 旗下 Claude Chrome 扩展程序存在一个高危提示词注入漏洞，所有低于 1.41 版本的扩展均受影响。 攻击者可通过构造恶意网页，在后台静默加载含跨站脚本（XSS）漏洞的 iframe，并在 a-cdn.claude.ai 子域内执行恶意载荷。由于该子域处于扩展程序的信任白名单内，攻击者可直接向 Claude 扩展下发恶意提示词并自动执行，整个过程无需用户授权或任何点击操作，受害者无感知。 该漏洞可导致攻击者操控 Claude 扩展读取用户 Google Drive 文档、窃取业务访问令牌或导出聊天记录，并可借此接管当前浏览器会话，以受害者身份执行发送邮件等敏感操作。GoPlus 建议用户立即将 Claude 扩展更新至 1.41 或以上版本，同时警惕钓鱼链接。

ChainCatcher 消息，慢雾科技首席信息安全官 23pds 发布提醒称，警惕虚假 imToken Chrome 扩展程序。Chrome 应用商店一个虚假 imToken Chrome 扩展程序，会钓鱼获取种子短语和私钥。

ChainCatcher 消息，GoPlus 发布安全警报，Chrome 浏览器漏洞允许恶意扩展程序通过 Gemini 面板提升权限，请立即升级 Chrome 浏览器到 143.7499.192 版本以上。该漏洞允许恶意扩展程序控制 Chrome 浏览器中的 Gemini Live 面板并以此提升权限，从而在未经用户许可的情况下访问摄像头和麦克风、截取屏幕截图、访问本地文件等。漏洞编号为 CVE-2026-0628，谷歌已于 2026 年 1 月初在 Windows/Mac 版本 143.7499.192/.193 和 Linux 版本 143.7499.192 中修复了该漏洞，请立即检查并升级您的 Chrome 版本。

ChainCatcher 消息，据官方公告，澳大利亚 Monochrome 现货比特币 ETF（IBTC）披露截至持仓量已达到 1248 枚比特币，持仓市值已超过 1.2 亿澳元。

ChainCatcher 消息，据安全机构 Socket 威胁研究团队报告，一款名为 “MEXC API Automator” 的恶意 Chrome 扩展程序自 2025 年 9 月 1 日起在 Chrome 应用商店上架，可窃取用户在加密货币交易所 MEXC 新创建的 API 密钥并发送至攻击者控制的 Telegram 机器人。该扩展程序以交易自动化为诱饵，在用户不知情的情况下自动生成具有提现权限的 MEXC API 密钥，并在界面中隐藏该权限显示，随后将密钥与密文外泄。攻击者借此可完全控制受害者的 MEXC 账户，执行交易、启动自动提现操作并转移账户内资产。截至报告发布时，该扩展程序仍可在 Chrome 应用商店中下载，研究团队已向谷歌通报并标记此扩展。

ChainCatcher 消息，Trust Wallet 在 X 平台发文表示，浏览器扩展程序现已重新在 Chrome 网上应用商店上线，此外版本 2.71.0 目前也已经推出，并包含客户服务验证码支持，以帮助处理索赔流程。

ChainCatcher 消息，据官方公告，澳大利亚 Monochrome 现货比特币 ETF（IBTC）披露持仓量已达到 1,203 枚比特币，持仓市值已超过 1.7 亿澳元。

ChainCatcher 消息，据官方公告，澳大利亚 Monochrome 现货比特币 ETF（IBTC）披露持仓量已减持 29 枚，现报 1,133 枚比特币，持仓市值约为 1.55 亿澳元。

ChainCatcher 消息，据官方公告，澳大利亚 Monochrome 现货比特币 ETF（IBTC）披露截至 11 月 28 日持仓量已达到 1161 枚比特币，持仓市值已超过 1.62 亿澳元。

ChainCatcher 消息，据官方公告，澳大利亚 Monochrome 现货比特币 ETF（IBTC）披露截至持仓量已达到 1,158 枚比特币，持仓市值已超过 1.61 亿澳元。

ChainCatcher 消息，据 Cointelegraph 报道，网络安全公司 Socket 发现一款名为 “Crypto Copilot” 的恶意 Chrome 扩展程序正在暗中从用户的 Solana 交易中窃取资金。该扩展程序允许用户直接从 X 社交媒体平台进行 Solana 交易，但会在每笔交易中注入额外指令，抽取至少 0.0013 SOL 或交易额的 0.05%。与典型的钱包清空恶意软件不同，Crypto Copilot 使用 Raydium 去中心化交易所执行交易，同时添加第二条指令将 SOL 转移到攻击者钱包，而用户界面仅显示交易概要，隐藏了单独的操作指令。该扩展程序自 2024 年 6 月 18 日发布以来，目前仅有 15 名用户。Socket 已向 Chrome Web Store 安全团队提交了下架请求。安全专家提醒用户，Chrome 扩展生态系统因其庞大用户群和可扩展设计，长期以来一直是加密货币诈骗的热门目标。

ChainCatcher 消息，据 GoPlus 中文社区披露，发现名为 “Safery: Ethereum Wallet” 的恶意 Chrome 插件正在窃取用户资产。该插件于 2024 年 11 月 12 日发布，伪装成简单安全的以太坊钱包，但内置后门程序。攻击手法具有高度隐蔽性：恶意插件将用户助记词编码为 Sui 地址，并通过攻击者控制的 Sui 钱包广播微额交易来窃取助记词。攻击者邮箱为 kifagusertyna@gmail[.]com。目前该恶意插件尚未从 Chrome 应用商店下架。

ChainCatcher 消息，据官方公告，澳大利亚 Monochrome 现货比特币 ETF（IBTC）披露截至持仓量已达到 1,127 枚比特币，持仓市值已超过 1.81 亿澳元。