Trust Wallets ब्राउज़र एक्सटेंशनों घटना ने क्रिप्टो में 6 मिलियन डॉलर से अधिक का नुकसान कर दिया

25 दिसंबर को कई क्रिप्टोकरेंसी उपयोगकर्ताओं ने Trust Wallet ब्राउज़र एक्सटेंशन से तेज़, अनधिकृत निकासी की सूचना दी, जिससे समुदाय में तुरंत चेतावनी फैल गई। प्रारम्भिक सूचनाएं ऑन-चेन इन्वेस्टिगेटर ZachXBT के माध्यम से सामने आईं, जिन्होंने EVM-संगत चेन, बिटकॉइन और Solana में दो घंटे की विंडो के भीतर सैकड़ों हैक किए गए पते चिन्हित किए। रिपोर्ट किए गए नुकसान में अचानक वृद्धि—जो प्रारम्भिक अनुमान के अनुसार 6 मिलियन डॉलर से अधिक थी—ने टेलीग्राम और X पर तात्काल चेतावनियाँ जारी कर दीं, सभी उपयोगकर्ताओं से अनुमोदन रद्द करने और निधियाँ वापस लेने के लिए कहा गया।

समुदाय के शोधकर्ताओं ने शीघ्र ही Trust Wallet Chrome एक्सटेंशन संस्करण 2.68 को एक सामान्य घटक के रूप में पहचाना। एक्सटेंशन की JavaScript फ़ाइलों की जाँच से ‘4482.js’ में अस्पष्ट जोड़ पाए गए जो आधिकारिक रिलीज नोट्स में नहीं थे। संदेहास्पद कोड खंड जो विश्लेषणात्मक फ़ंक्शन के रूप में चिह्नित थे, वास्तव में सीड फ्रेज़ पकड़ने, उन्हें metrics-trustwallet[.]com पर भेजने, और फिर फ्रेज आयात के बाद वॉलेट्स को स्वचालित रूप से खाली करने में सक्षम थे। दुष्ट पेलोड केवल वॉलेट-आयात घटनाओं पर सक्रिय हुआ, जिससे शुरुआती पहचान से बच गया।

आगे के चेन-फॉलो विश्लेषण ने चोरी गए संपत्तियों में से लगभग $6 मिलियन को प्राइवसी मिक्सर और अस्पष्ट बनाने वाली सेवाओं के माध्यम से प्रवाहित होते पाया, जिससे हमलावरों के धन धोने की योजना तेज़ी से उजागर हुई। पीड़ित पते में इनसाइडर मल्टीसिग खाते, उच्च-वैल्यू वाले व्यक्तिगत वॉलेट और छोटे खुदरा व्यापारी सभी शामिल थे, जो ब्राउज़र-आधारित वॉलेट्स के सप्लाई-चेन अटैक के प्रति संवेदनशीलता को रेखांकित करते हैं। Tornado Cash और Wasabi Wallet जैसे प्रमुख मिक्सर से Peel लेनदेन भी देखे गए, जो समन्वित धन धोने की रणनीतियों का संकेत देते हैं।

सार्वजनिक समीक्षा के बाद, Trust Wallet ने एक आधिकारिक सलाह जारी की जिसमें केवल एक्सटेंशन संस्करण 2.68 प्रभावित पाया गया था। सलाह में तत्काल एक्सटेंशन को अक्षम करने, आधिकारिक Chrome Web Store से संस्करण 2.69 में अपडेट करने और ब्राउज़र वातावरणों में seed phrase आयात से बचने की सिफारिश की गई। मोबाइल और क्रोम-नॉन उपयोगकर्ताओं पर असर नहीं पड़ा बताया गया। Trust Wallet ने यह भी स्पष्ट किया कि उल्लंघन उसकी मुख्य मोबाइल ऐप या ऑन-चेन स्मार्ट कॉन्ट्रैक्ट्स को प्रभावित नहीं किया।

घटना ने self-custody जोखिमों और संचालन सुरक्षा पर बहस को पुनर्जीवित कर दिया। विशेषज्ञों ने कहा कि कुंजी प्रबंधन वातावरण क्रिप्टोग्राफ़िक प्रोटोकॉल के समान ही महत्वपूर्ण हैं, और सप्लाई-चेन अखंडता को वॉलेट प्रदाताओं और ब्राउज़र मार्केटप्लेस दोनों द्वारा बनाए रखना चाहिए। तत्परता के रूप में सुरक्षा शोधकर्ताओं ने प्रभावित उपयोगकर्ताओं को सलाह दी कि वे शेष संपत्तियों को सुरक्षित, एयर-गैप डिवाइस पर बनाए गए नए वॉलेट में स्थानांतरित करें, सभी dApp अनुमतियाँ रद्द करें, और संदिग्ध इंटरैक्शन के लिए नेटवर्क गतिविधि की निगरानी करें।

हमले के बाद मानकीकृत एक्सटेंशन वेटिंग, पारदर्शी चेंज लॉग और स्वतंत्र ऑडिट के लिए मांगें अधिक तेज़ हो गईं। ब्लॉकचेन सुरक्षा कंपनियाँ और ओपन-सोर्स ऑडिटर समूह लोकप्रिय वॉलेट एक्सटेंशनों में क्लाइंट-साइड कोड में असामान्यताओं का पता लगाने के लिए उपकरणों पर सहयोग कर रहे हैं। फिलहाल, Trust Wallet घटना एक स्पष्ट उदाहरण के तौर पर खड़ी है कि सप्लाई-चेन कमजोरियाँ कैसे स्वयं-स्वामित्व संपत्ति नियंत्रण के वादे को कमजोर कर सकती हैं, समुदाय से आग्रह करती हैं कि वॉलेट डिज़ाइन और वितरण में एंड-टू-एंड सुरक्षा को प्राथमिकता दें।