Vorfallübersicht
Am 26. Dezember 2025 tauchten Berichte über massenhafte unbefugte Abhebungen von der Chrome-Browser-Erweiterung von Trust Wallet in Version 2.68 auf. Binnen Stunden nach einem routinemäßigen Update setzten Angreifer bösartigen Code in die Erweiterung ein, der heimlich Seed-Phrasen und private Schlüsselmaterial erfasste. Opfer meldeten plötzliche Geldausläufe über mehrere Chains hinweg, wobei eine vorläufige On-Chain-Analyse Verluste von rund 7 Millionen US-Dollar anzeigte.
Angriffsvektor und Zeitplan
- 24. Dezember 2025: Version 2.68 wurde über den Chrome Web Store veröffentlicht.
- 26. Dezember 2025, 00:15 UTC: Der Blockchain-Ermittler ZachXBT warnt die Community, nachdem er schnelle Geldbewegungen von verschiedenen Wallets beobachtet hat.
- 26. Dezember 2025, 02:00 UTC: PeckShield bestätigt die Abzweigung von über 6 Mio. USD, wobei ca. 40 % der gestohlenen Vermögenswerte über zentrale Börsen gewaschen wurden.
- 26. Dezember 2025, 04:30 UTC: Trust Wallet gibt eine Warnung heraus, Version 2.68 zu deaktivieren und auf die gepatchte Version 2.69 zu aktualisieren.
- 26. Dezember 2025, 07:42 UTC: Trust Wallet bestätigt Gesamtschäden von ca. 7 Mio. USD und verpflichtet sich zu einer vollständigen Entschädigung der Nutzer.
Technische Analyse
Angreifer haben durch das Einbetten von PostHog-JS-Instrumentierung in die Kernskripten der Erweiterung eine Lieferketten-Backdoor erzeugt. Dies ermöglichte die Echtzeit-Exfiltration entschlüsselter Seed-Phrasen und privaten Schlüsselmaterials zu einem bösartigen Endpunkt. Die On-Chain-Clusterung zeigt, dass gestohlene Vermögenswerte auf Bitcoin, Ethereum, Solana und andere EVM-kompatible Token aufgeteilt wurden, wobei die Erlöse in eine kleine Gruppe von Auszahlungsadressen aggregiert wurden, bevor sie an Börsen verteilt wurden, um in Fiat umzuwandeln.
Abhilfemaßnahmen und Reaktion
Trust Wallet hat Version 2.69 veröffentlicht, die den bösartigen Code entfernt und die für Erweiterungsupdates verwendeten Signaturen neu signiert hat. Betroffene Nutzer wurden aufgefordert, Erweiterungsberechtigungen zu widerrufen, verbleibende Vermögenswerte auf neue Wallets zu übertragen und, wo möglich, eine Zwei-Faktor-Authentifizierung zu aktivieren. Der Gründer von Binance, Changpeng Zhao (CZ), hat öffentlich eine Erstattung aus dem SAFU-Fonds garantiert. Unabhängige Sicherheitsfirmen prüfen die Codebasis und überwachen verbleibende Schwachstellen.
Breitere Auswirkungen
Dieser Vorfall unterstreicht das erhöhte Risiko, das mit browserbasierten Wallet-Erweiterungen verbunden ist. Im Gegensatz zu Hardware- oder vollständig eigenständigen Desktop-Clients arbeiten Browser-Erweiterungen im Sicherheitskontext des Browsers, wodurch ihre Angriffsfläche vergrößert wird. Experten empfehlen die Verwendung von Hardware-Wallets oder Kontenabstraktionslösungen, die Transaktionsverzögerungen erzwingen und eine ausdrückliche Benutzerfreigabe für Codeänderungen erfordern.
Kernaussagen
- Ein Lieferketten-Kompromiss kann bösartigen Code direkt in legitime Software-Updates einschleusen.
- Schnelle Warnungen und Patch-Rollouts, kombiniert mit öffentlichen Entschädigungsgarantien, sind entscheidend für die Schadensbegrenzung.
- Browser-Erweiterungsumgebungen bleiben verwundbar; Nutzer sollten bei größeren Beständen Hardware- oder Multi-Signature-Alternativen in Betracht ziehen.
Kommentare (0)