Przegląd incydentu
Dnia 26 grudnia 2025 r. pojawiły się doniesienia o masowych nieautoryzowanych wypłatach z rozszerzenia Trust Wallet dla przeglądarki Chrome, wersja 2.68. W ciągu kilku godzin od rutynowej aktualizacji atakujący wdrożyli złośliwy kod w rozszerzeniu, który w sposób niezauważony przechwytywał frazy seed i klucze prywatne. Ofiary zgłaszały nagłe odpływy środków na wielu łańcuchach, a wstępna analiza na łańcuchu wskazuje na straty sięgające około 7 milionów dolarów.
Wektor ataku i harmonogram
- 24 grudnia 2025: Wersja 2.68 wydana w Chrome Web Store.
- 26 grudnia 2025, 00:15 UTC: Analityk blockchainowy ZachXBT ostrzega społeczność po zaobserwowaniu gwałtownych ruchów środków z różnych portfeli.
- 26 grudnia 2025, 02:00 UTC: PeckShield potwierdza wyciek ponad 6 mln dolarów, przy czym około 40% skradzionych aktywów prano poprzez scentralizowane giełdy.
- 26 grudnia 2025, 04:30 UTC: Trust Wallet ostrzega przed wyłączeniem wersji 2.68 i aktualizacją do naprawionej wersji 2.69.
- 26 grudnia 2025, 07:42 UTC: Trust Wallet potwierdza całkowite straty w wysokości około 7 milionów dolarów i zobowiązuje się do pełnego odszkodowania użytkownikom.
Analiza techniczna
Atakujący wstawili backdoor w łańcuchu dostaw poprzez wstrzyknięcie instrumentacji PostHog JS do rdzeniowych skryptów rozszerzenia. Umożliwiło to w czasie rzeczywistym eksfiltrację odszyfrowanych fraz seed i materiałów kluczy prywatnych do złośliwego punktu końcowego. Analiza klastrów na łańcuchu ukazuje, że skradzione aktywa były podzielone między Bitcoin, Ethereum, Solana oraz inne tokeny kompatybilne z EVM, a wpływy zebrano w niewielkiej grupie adresów wypłat przed dystrybucją na giełdy w celu konwersji na fiat.
Środki zaradcze i reakcja
Trust Wallet wypuściło wersję 2.69, która usunęła złośliwy kod i przeprowadziła rotację kluczowych podpisów używanych w aktualizacjach rozszerzeń. Dotkniętym użytkownikom zalecono cofnięcie uprawnień do rozszerzenia, przeniesienie pozostałych aktywów do nowych portfeli oraz włączenie uwierzytelniania dwuskładnikowego, gdzie to możliwe. Założyciel Binance, Changpeng Zhao (CZ), publicznie zagwarantował zwrot środków w ramach funduszu SAFU. Niezależne firmy zajmujące się bezpieczeństwem dokonują audytu kodu źródłowego i monitorują ewentualne luki pozostające.
Szersze implikacje
Ten incydent podkreśla zwiększone ryzyko związane z rozszerzeniami portfeli opartymi na przeglądarce. W przeciwieństwie do sprzętowych lub całkowicie samodzielnych klientów desktopowych, rozszerzenia przeglądarkowe działają w kontekście bezpieczeństwa przeglądarki, co zwiększa ich przestrzeń ataku. Eksperci zalecają używanie portfeli sprzętowych lub rozwiązań abstrakcji kont, które wymuszają opóźnienia transakcji i wymagają wyraźnej zgody użytkownika na zmiany na poziomie kodu.
Główne wnioski
- Kompromis w łańcuchu dostaw może wprowadzić złośliwy kod bezpośrednio do wiarygodnych aktualizacji oprogramowania.
- Szybkie ostrzeżenie i wypuszczenie poprawek, w połączeniu z publicznymi gwarancjami rekompensat, są kluczowe dla ograniczenia szkód.
- Środowiska oparte na rozszerzeniach przeglądarkowych pozostają podatne; użytkownicy powinni rozważyć portfele sprzętowe lub rozwiązania multi-sig dla dużych zasobów.
Komentarze (0)