Trust Wallets ब्राउज़र एक्सटेंशन में सुरक्षा उल्लंघन से उपयोगकर्ताओं के 7 मिलियन डॉलर चोरी हो गए

घटना का अवलोकन

26 दिसंबर 2025 को Trust Wallet के Chrome ब्राउज़र एक्सटेंशन, संस्करण 2.68 से बड़े पैमाने पर अवैध निकासी की खबरें सामने आईं। एक नियमित अपडेट के कुछ घंटों के भीतर, हमलावरों ने एक्सटेंशन के भीतर दुर्भावनापूर्ण कोड तैनात किया जिसने चुपके से सीड फ़्रेज़ और निजी कुंजी प्राप्त कर लीं। पीड़ितों ने कई चेन पर धन की अचानक निकासी की सूचना दी, प्रारम्भिक ऑन-चैन विश्लेषण से लगभग 7 मिलियन डॉलर के नुकसान का संकेत मिला。

आक्रमण वेक्टर और समयरेखा

• 24 दिसंबर 2025: Chrome Web Store के माध्यम से संस्करण 2.68 जारी किया गया।
• 26 दिसंबर 2025, 00:15 यूटीसी: विविध वॉलेट से तेज धन प्रवाह देखे जाने के बाद ब्लॉकचेन जासूस ZachXBT ने समुदाय को सतर्क किया।
• 26 दिसंबर 2025, 02:00 यूटीसी: PeckShield ने $6 मिलियन से अधिक की चोरी की पुष्टि की, चोरी के लगभग 40% केंद्रीकृत एक्सचेंजों के माध्यम से धनशोधन के लिए ले जाया गया।
• 26 दिसंबर 2025, 04:30 यूटीसी: Trust Wallet ने संस्करण 2.69 में अपडेट करने के लिए एक एडवायज़री जारी की जिसमें दुर्भावनापूर्ण कोड हटाया गया और एक्सटेंशन अपडेट्स में प्रयुक्त प्रमुख हस्ताक्षरों को पुनः घुमाया गया।
• 26 दिसंबर 2025, 07:42 यूटीसी: Trust Wallet ने कुल नुकसान लगभग 7 मिलियन डॉलर की पुष्टि की और पूर्ण उपयोगकर्ता क्षतिपूर्ति का वादा किया।

तकनीकी विश्लेषण

हमलावरों ने एक्सटेंशन की कोर स्क्रिप्ट में PostHog JS इंस्ट्रुमेंटेशन डालकर आपूर्ति-श्रृंखला में एक बैकडोर स्थापित किया। इससे डिक्रिप्ट किए गए सीड फ़्रेज़ और निजी कुंजी सामग्री को एक दुर्भावनापूर्ण एंडपॉइंट पर वास्तविक समय में एक्सफिल्ट्रेट करने की अनुमति मिली। ऑन-चेन क्लस्टरिंग से पता चलता है कि चुराई गई संपत्तियाँ बिटकॉइन, एथेरियम, सोलाना और अन्य EVM-उपयुक्त टोकनों में बँटी थीं, और लाभ एक छोटे समूह के निकासी पतों में संचित होने के बाद फिएट में परिवर्तित करने के लिए एक्सचेंजों को वितरित किया गया।

उपाय और प्रतिक्रिया

Trust Wallet ने संस्करण 2.69 जारी किया, जिसने दुर्भावनापूर्ण कोड हटाया और एक्सटेंशन अपडेट्स में प्रयुक्त महत्त्वपूर्ण हस्ताक्षरों को पुनः घुमाया। प्रभावित उपयोगकर्ताओं से एक्सटेंशन अनुमतियाँ रद्द करने, शेष संपत्ति को ताज़ा वॉलेट्स में ट्रांसफर करने और जहाँ उपलब्ध हो वहाँ दो-फैक्टर ऑथेंटिकेशन सक्षम करने को कहा गया। Binance के संस्थापक Changpeng Zhao (CZ) ने SAFU फंड के अंतर्गत पुनः भुगतान की सार्वजनिक गारंटी दी। स्वतंत्र सुरक्षा फर्में कोडबेस का ऑडिट कर रही हैं और शेष कमजोरियों की निगरानी कर रही हैं।

व्यापक प्रभाव

यह घटना ब्राउज़र-आधारित वॉलेट एक्सटेंशनों से जुड़े उच्च जोखिम को उजागर करती है। हार्डवेयर या पूर्णतः स्वतंत्र डेस्कटॉप क्लायंट्स के विपरीत, ब्राउज़र एक्सटेंशनों को ब्राउज़र के सुरक्षा संदर्भ के भीतर काम करना पड़ता है, जिससे उनकी आक्रमण सतह बढ़ जाती है। विशेषज्ञ हार्डवेयर वॉलेट या खाता-अव्याख्या समाधान के उपयोग की सलाह देते हैं जो लेनदेन देरी को लागू करें और कोड-स्तर के बदलावों के लिए स्पष्ट उपयोगकर्ता अनुमोदन आवश्यक करें।

मुख्य निष्कर्ष

1. आपूर्ति-श्रृंखला के समझौते के कारण वैध सॉफ्टवेयर अपडेट में सीधे दुर्भावनापूर्ण कोड डाल सकता है।
2. तत्काल सूचना और पैच रोलआउट, सार्वजनिक क्षतिपूर्ति की गारंटी के साथ, नुकसान नियंत्रण के लिए अत्यंत आवश्यक हैं।
3. ब्राउज़र-एक्सटेंशन वातावरण अभी भी असुरक्षित रहते हैं; बड़े होल्डिंग्स के लिए उपयोगकर्ताओं को हार्डवेयर या मल्टी-Sिग विकल्पों पर विचार करना चाहिए।