A Trust Wallet böngészőbővítmények megsértése 7 millió dollárt szív ki a felhasználóktól

Incidens áttekintése

2025. december 26-án jelentések érkeztek a Trust Wallet Chrome-böngészőbővítményének verzió 2.68 tömeges engedély nélküli kivonásairól. A rutin frissítés néhány órája alatt a támadók rosszindulatú kódot telepítettek a bővítménybe, amely csendben begyűjtötte a seed kifejezéseket és a privát kulcsokat. Az áldozatok azonnali pénzvesztésről számoltak be több láncon át, az előzetes on-chain elemzés körülbelül 7 millió dolláros veszteséget jelez.

Támadási vektor és idővonal

• 2025. december 24.: Verzió 2.68 a Chrome Web Store-ból került kiadásra.
• 2025. december 26., 00:15 UTC: A blokklánc-nyomozó ZachXBT értesíti a közösséget, miután gyors pénzmozgásokat észlelt sokféle tárcától.
• 2025. december 26., 02:00 UTC: PeckShield megerősíti, hogy több mint 6 millió dollár kivonás történt, a lopott eszközök körülbelül 40%-a központosított tőzsdéken pénzmosáson ment keresztül.
• 2025. december 26., 04:30 UTC: A Trust Wallet közleményt adott ki a 2.68-as verzió letiltására és a javított 2.69-es verzióra való frissítésre.
• 2025. december 26., 07:42 UTC: A Trust Wallet megerősíti, hogy összesen mintegy 7 millió dollár veszteség keletkezett, és teljes felhasználói kártalanítást ígér.

Technikai elemzés

A támadók a beszállítói láncon keresztül backdoor-t építettek be a bővítmény magkódjába a PostHog JS instrumentációjának injektálásával. Ez lehetővé tette a dekódolt seed kifejezések és a privát kulcsok valós idejű kiszivárgását egy rosszindulatú végpontra. Az on-chain klaszterezés kimutatta, hogy a lopott eszközök a Bitcoin, Ethereum, Solana és más EVM-kompatibilis tokenek között oszlanak meg, a bevételek pedig egy kis kivonási címhalmazba gyűltek össze, mielőtt fiatra történt volna az átváltás a tőzsdékre.

Megelőzés és válasz

A Trust Wallet kiadta a 2.69-es verziót, amely eltávolította a rosszindulatú kódot és megváltoztatta a bővítmény frissítéseiben használt kritikus aláírásokat. Az érintett felhasználókat arra kérték, hogy vonják vissza a bővítmény jogosultságait, utalják át a fennmaradó eszközöket friss tárcákba, és ahol elérhető, kapcsolják be a kétfaktoros hitelesítést. A Binance alapítója, Changpeng Zhao (CZ) nyilvánosan garantálta a SAFU-alap keretében történő kártérítést. Független biztonsági cégek auditálják a kódot és figyelik a maradék sebezhetőségeket.

Átfogóbb következmények

Ez az incidens rámutat arra, hogy megnövekedett kockázatot jelentenek a böngésző-alapú tárca-bővítmények. Míg a hardveres vagy teljesen önálló asztali kliensek esetében a böngésző-bővítmények a böngésző biztonsági kontextusában futnak, növelik a támadási felületet. A szakértők hardveres tárcák vagy fiók-absztrakciós megoldások használatát javasolják, amelyek késleltetik a tranzakciókat és kifejezett felhasználói jóváhagyásokat igényelnek a kód-szintű módosításokhoz.

Fő tanulságok

1. A beszállítói lánc kompromittálása közvetlenül rosszindulatú kódot injektálhat a megbízható szoftverfrissítésekbe.
2. A gyors figyelmeztetés és a javítások gyors kiadása, nyilvános kártérítési garanciákkal együtt, kritikus a károk mérsékléséhez.
3. A böngésző-bővítmény környezetek továbbra is sebezhetőek; a felhasználóknak érdemes hardveres vagy multisig alternatívákat fontolóra venni nagy tartalékok esetén.