Ikhtisar
Trust Wallet mengonfirmasi bahwa serangan rantai pasokan melalui pembaruan ekstensi Chrome yang dikompromikan mengakibatkan kerugian sekitar $8,5 juta. Kunci API Google Chrome Web Store yang bocor memungkinkan penyerang mengunggah versi berbahaya dari ekstensi peramban Trust Wallet langsung ke Web Store resmi, melewati tinjauan kode dan pemeriksaan keamanan.
Rincian Serangan
- Periode serangan: 24–26 Desember 2025
- Versi ekstensi: 2.68
- Jumlah korban: 2.520 alamat dompet
- Metode: Kode berbahaya disamarkan sebagai lalu lintas analitik ke domain palsu metrics-trustwallet[.]com
Analisis Teknis
Kategori serangan rantai pasokan: Kompromi kunci. Berbeda dengan eksploitasi kontrak pintar pada umumnya, insiden ini menargetkan mekanisme distribusi. Kredensial pribadi yang digunakan untuk menerbitkan ekstensi terekspos, memungkinkan penyisipan kode eksfiltrasi ke dalam jalur rilis. Tidak ada kerentanan on-chain yang dieksploitasi; pengguna akhir ditargetkan melalui infrastruktur tepercaya.
Tindakan Respons
- Kredensial API yang terkompromi dicabut segera.
- Dikembalikan ke versi ekstensi yang aman, 2.69.
- Menerapkan manajemen kunci rilis yang ditingkatkan dan autentikasi multi-faktor pada sistem penyebaran.
- Menawarkan penggantian biaya kepada semua korban yang memenuhi syarat, menanggung seluruh kerugian.
Dampak Industri
Elemen infrastruktur kritis seperti kunci distribusi mewakili satu titik kegagalan. Dompet berbasis ekstensi sebaiknya mengadopsi rotasi kredensial yang ketat, pemantauan akun penerbit, dan penandatanganan kode di luar jalur untuk mengurangi risiko serupa. Tim keamanan harus mempertimbangkan vektor rantai pasokan dengan prioritas yang sama seperti audit kontrak pintar.
Rekomendasi Pengguna
Pengguna yang memasang versi 2.68 harus menganggap kompromis, memindahkan dana ke dompet baru yang dibuat di perangkat yang aman, dan menghasilkan ulang frasa pemulihan. Verifikasi versi ekstensi dan pembaruan ke v2.69 atau lebih tinggi bersifat wajib. Klaim penggantian biaya harus diajukan melalui saluran dukungan resmi Trust Wallet.
Komentar (0)