Incidentoverzicht

Op 26 december 2025 verschenen meldingen van massale onbevoegde opnames uit de Chrome-browserextensie van Trust Wallet, versie 2.68. Binnen uren na een routinematige update brachten aanvallers kwaadaardige code in de extensie aan die stilletjes seedzinnen en privésleutels vastlegde. Slachtoffers meldden plotselinge afnames van fondsen over meerdere blockchains, met een voorlopige on-chain analyse die verliezen van ongeveer $7 miljoen aangeeft.

Aanvalsvector en Tijdlijn

• 24 december 2025: Versie 2.68 vrijgegeven via de Chrome Web Store.
• 26 december 2025, 00:15 UTC: Blockchain-onderzoeker ZachXBT waarschuwt de gemeenschap nadat hij snelle fondsenbewegingen vanuit diverse wallets heeft waargenomen.
• 26 december 2025, 02:00 UTC: PeckShield bevestigt het wegsnoepen van meer dan $6 miljoen, waarbij ongeveer 40% van de gestolen activa wordt witgewassen via gecentraliseerde exchanges.
• 26 december 2025, 04:30 UTC: Trust Wallet publiceert een advies om versie 2.68 uit te schakelen en te upgraden naar de gepatchte versie 2.69.
• 26 december 2025, 07:42 UTC: Trust Wallet bevestigt totale verliezen van ongeveer $7 miljoen en belooft volledige compensatie voor gebruikers.

Technische analyse

Aanvallers hebben een backdoor in de toeleveringsketen ingebouwd door PostHog JS-instrumentatie in de kernscripts van de extensie te injecteren. Dit maakte real-time exfiltratie van ontsleutelde seedzinnen en privésleutelmateriaal naar een kwaadaardig eindpunt mogelijk. On-chain clustering toont aan dat gestolen activa verdeeld waren over Bitcoin, Ethereum, Solana en andere EVM-compatibele tokens, waarbij de opbrengsten werden samengebracht in een klein aantal opname-adressen voordat ze naar exchanges werden gestuurd voor omzetting naar fiat.

Mitigatie en reactie

Trust Wallet heeft versie 2.69 vrijgegeven, waarmee de kwaadaardige code werd verwijderd en de kritieke handtekeningen die bij extensie-updates worden gebruikt, zijn gewijzigd. Getroffen gebruikers werden aangemoedigd machtigingen voor de extensie terug te trekken, de resterende activa over te zetten naar verse wallets en waar mogelijk tweefactorauthenticatie in te schakelen. Changpeng Zhao (CZ), oprichter van Binance, garandeerde publiekelijk vergoeding uit het SAFU-fonds. Onafhankelijke beveiligingsbedrijven auditen de codebasis en houden toezicht op resterende kwetsbaarheden.

Brede implicaties

Dit incident onderstreept het verhoogde risico rondom browser-gebaseerde portemonnee-extensies. In tegenstelling tot hardwareportemonnees of volledig standalone desktopclients opereren browserextensies binnen de beveiligingscontext van de browser, waardoor hun aanvalsoppervlak toeneemt. Experts raden het gebruik aan van hardware wallets of account-abstractionoplossingen die transacties vertragen en expliciete gebruikersgoedkeuringen voor codewijzigingen vereisen.

Kernpunten

1. Een compromis in de toeleveringsketen kan kwaadaardige code rechtstreeks in legitieme software-updates injecteren.
2. Snelle waarschuwingen en patchuitrol, in combinatie met publieke garanties voor compensatie, zijn cruciaal voor het beheersen van de schade.
3. Browser-extensieomgevingen blijven kwetsbaar; gebruikers moeten hardware wallets of multi-sig-alternatieven overwegen voor grote holdings.