Violazione dellestensione del browser di Trust Wallet depreda gli utenti di 7 milioni di dollari

Panoramica dell'incidente

Il 26 dicembre 2025 sono emerse segnalazioni di prelievi di massa non autorizzati dall'estensione per browser Chrome di Trust Wallet, versione 2.68. A poche ore da un aggiornamento di routine, gli attaccanti hanno implementato codice dannoso all'interno dell'estensione che ha silenziosamente catturato frasi seed decifrate e chiavi private. Le vittime hanno riferito drenaggi improvvisi di fondi su più catene, con un'analisi on-chain preliminare che indica perdite di circa 7 milioni di dollari.

Vettore di attacco e cronologia

• 24 dicembre 2025: versione 2.68 rilasciata tramite Chrome Web Store.
• 26 dicembre 2025, 00:15 UTC: l'investigatore della blockchain ZachXBT avverte la comunità dopo aver osservato rapidi movimenti di fondi da portafogli eterogenei.
• 26 dicembre 2025, 02:00 UTC: PeckShield conferma il furto di oltre 6 milioni di dollari, con circa il 40% degli asset rubati riciclato tramite exchange centralizzati.
• 26 dicembre 2025, 04:30 UTC: Trust Wallet emette un avviso per disabilitare la versione 2.68 e aggiornare alla versione corretta 2.69.
• 26 dicembre 2025, 07:42 UTC: Trust Wallet conferma perdite totali di circa 7 milioni di dollari e promette un risarcimento completo agli utenti.

Analisi Tecnica

Gli attaccanti hanno inserito una backdoor della catena di fornitura iniettando strumenti di PostHog JS nei script principali dell'estensione. Ciò ha permesso l'esfiltrazione in tempo reale di frasi seed decifrate e materiale delle chiavi private verso un endpoint dannoso. L'analisi on-chain rivela che i beni rubati sono stati divisi tra Bitcoin, Ethereum, Solana e altri token compatibili con EVM, con i proventi aggregati in un piccolo insieme di indirizzi di prelievo prima della distribuzione agli exchange per la conversione in valuta fiat.

Mitigazione e Risposta

Trust Wallet ha rilasciato la versione 2.69, che ha rimosso il codice malevolo e ruotate le firme critiche utilizzate negli aggiornamenti dell'estensione. Gli utenti interessati sono stati invitati a revocare le autorizzazioni dell'estensione, trasferire i fondi rimanenti su portafogli nuovi e attivare l'autenticazione a due fattori dove disponibile. Il fondatore di Binance, Changpeng Zhao (CZ), ha pubblicamente garantito il rimborso ai sensi del fondo SAFU. Le società di sicurezza indipendenti stanno revisionando il codice di base e monitorando eventuali vulnerabilità residue.

Implicazioni più ampie

Questo incidente evidenzia il rischio crescente intorno alle estensioni di portafoglio basate sul browser. A differenza di hardware o di client desktop completamente autonomi, le estensioni del browser operano nel contesto di sicurezza del browser, aumentando la superficie di attacco. Gli esperti raccomandano l'uso di portafogli hardware o soluzioni di account abstraction che impongano ritardi nelle transazioni e richiedano approvazioni esplicite da parte dell'utente per modifiche a livello di codice.

Punti chiave

1. La compromissione della catena di fornitura può inserire codice dannoso direttamente negli aggiornamenti software legittimi.
2. Un rapido rilascio di avvisi e patch, abbinato a garanzie pubbliche di risarcimento, è fondamentale per contenere i danni.
3. Gli ambienti delle estensioni del browser restano vulnerabili; gli utenti dovrebbero valutare l'uso di portafogli hardware o alternative multi-firma per grandi asset.