Trust Wallet מאשרת פריצה בשרשרת האספקה בהיקף 8.5 מיליון דולר באמצעות מפתח API של Chrome שנחשף

סקירה כללית

Trust Wallet אישרה שמתקפת שרשרת אספקה באמצעות עדכון הרחבת כרום שנחשף פגעה בהיקף אובדן בסך כ-8.5 מיליון דולר. מפתח API שנדלף לחנות Google Chrome Web Store אפשר לתוקפים להעלות גרסה מזיקה של הרחבת הדפדפן Trust Wallet ישירות לחנות הרשמית, ובאופן זה לעקוף סקירת קוד ובדיקות אבטחה.

פרטי המתקפה

• תקופת המתקפה: 24–26 בדצמבר 2025
• גרסת ההרחבה: 2.68
• מספר הקורבנות: 2,520 כתובות ארנק
• שיטה: קוד זדוני שמוסווה כתעבורת אנליטיקה לכתובת דומיין מזויפת metrics-trustwallet[.]com

ניתוח טכני

קטגוריית מתקפת שרשרת אספקה: חשיפת מפתחות פרטיים. בשונה מהתנאים הרגילים של פרצות בחוזים חכמים, האירוע הזה כוון למנגנון ההפצה. פרטי ההזדהות הפרטיים שנעשה בהם שימוש לפרסום ההרחבה נחשפו, מה שאפשר החדרת קוד חילוץ נתונים לתוך צינור השחרור. לא הופעלה פגיעה על-שרשרת; המשתמשים הסופיים היו מטרה באמצעות תשתית מהימנה.

צעדי תגובה

• ביטול מיידי של מפתחות API שנפרצו.
• הוחזרה לגרסת הרחבה מאובטחת 2.69.
• יישמנו ניהול מפתחות שחרור משופר ואימות דו-גורמי במערכות הפריסה.
• הוצעו פיצויים לכל הקורבנות הזכאים, לכיסוי כל ההפסדים.

השלכות תעשייתיות

אלמנטים קריטיים בתשתית כגון מפתחות הפצה מהווים נקודת תורפה יחידה. ארנקי הרחבות צריכים לאמץ סיבוב מחמיר של אישורים, ניטור חשבונות מפרסמים, וחתימת קוד מחוץ לשרשרת כדי להפחית סיכונים דומים. צוותי האבטחה צריכים לשקול את וקטורי שרשרת האספקה באותה עדיפות כמו ביקורות חוזים חכמים.

המלצות למשתמשים

משתמשים שהתקינו את הגרסה 2.68 חייבים לשער כי ההפרצה התרחשה, להעביר כספים לארנקים חדשים שנוצרים במכשיר מאובטח, ולשחזר את ביטויי הזרע. אימות גרסת ההרחבה ועדכון ל-2.69 או גרסה גבוהה יותר הוא חובה. בקשות לפיצוי יש להגיש דרך ערוצי התמיכה הרשמיים של Trust Wallet.