Prolomení rozšíření prohlížečů Trust Wallet od uživatelů odčerpalo 7 milionů dolarů

Přehled incidentu

Dnem 26. prosince 2025 se objevily zprávy o masivních neoprávněných výběrech z Chrome rozšíření Trust Wallet pro prohlížeč, verze 2.68. V průběhu několika hodin po rutinní aktualizaci útočníci nasadili škodlivý kód do rozšíření, který tiše zachycoval seedové fráze a soukromé klíče. Oběti hlásily náhlé odčerpávání prostředků napříč více řetězci, s předběžnou on-chain analýzou ukazující ztráty kolem 7 milionů dolarů.

Útočný vektor a časová osa

• 24. prosince 2025: Verze 2.68 byla zveřejněna v Chrome Web Store.
• 26. prosince 2025, 00:15 UTC: Blockchainový vyšetřovatel ZachXBT varuje komunitu po pozorování rychlého pohybu prostředků z různých peněženek.
• 26. prosince 2025, 02:00 UTC: PeckShield potvrzuje odčerpaní více než 6 milionů dolarů, přičemž přibližně 40 % ukradených prostředků bylo prané prostřednictvím centralizovaných burz.
• 26. prosince 2025, 04:30 UTC: Trust Wallet vydává upozornění na vypnutí verze 2.68 a upgrade na opravenou verzi 2.69.
• 26. prosince 2025, 07:42 UTC: Trust Wallet potvrzuje celkové ztráty kolem 7 milionů dolarů a slibuje plnou náhradu uživatelům.

Technická analýza

Útočníci vložili zadní vchod do dodavatelského řetězce vložením instrumentace PostHog JS do jádrových skriptů rozšíření. To umožnilo v reálném čase exfiltraci dešifrovaných seedových frází a materiálu soukromých klíčů na škodlivý koncový bod. On-chain shlukování ukazuje, že ukradené prostředky byly rozděleny mezi Bitcoin, Ethereum, Solana a další tokeny kompatibilní s EVM, s výnosy shromážděnými do malé sady výstupních adres před rozdělením na burzy za účelem konverze na fiat.

Opatření a reakce

Trust Wallet vydal verzi 2.69, která odstranila škodlivý kód a vyměnila klíčové podpisy používané při aktualizacích rozšíření. Dotčeným uživatelům bylo vyzváno, aby revokovali oprávnění rozšíření, přesunuli zbývající prostředky do nových peněženek a povolili dvoufaktorovou autentizaci tam, kde je k dispozici. Zakladatel Binance Changpeng Zhao (CZ) veřejně zaručil náhradu prostřednictvím fondu SAFU. Nezávislé bezpečnostní firmy provádějí audit kódu a sledují zbývající zranitelnosti.

Širší důsledky

Tento incident podtrhuje zvýšené riziko spojené s peněženkovými rozšířeními pro prohlížeče. Na rozdíl od hardwarových nebo plně samostatných desktopových klientů, rozšíření pro prohlížeč fungují v bezpečnostním kontextu prohlížeče, což zvyšuje jejich útočný povrch. Experti doporučují použití hardwarových peněženek nebo řešení pro abstrakci účtů, která vynucují zpoždění transakcí a vyžadují explicitní schválení uživatele pro změny na úrovni kódu.

Klíčové poznatky

1. Narušení dodavatelského řetězce může přímo vnést škodlivý kód do legitimních softwarových aktualizací.
2. Rychlá veřejná upozornění a nasazení oprav, v kombinaci s veřejnými zárukami náhrad, jsou klíčové pro zvládnutí škod.
3. Prostředí rozšíření pro prohlížeč zůstávají zranitelná; uživatelé by měli zvážit hardwarové peněženky nebo alternativy s více podpisy pro velké držby.