Visão Geral do Incidente
Em 26 de dezembro de 2025, surgiram relatos de saques massivos não autorizados da extensão do Trust Wallet para o navegador Chrome, versão 2.68. Em poucas horas após uma atualização de rotina, atacantes implantaram código malicioso dentro da extensão que capturou silenciosamente frases semente e chaves privadas. Vítimas relataram saques súbitos de fundos em várias blockchains, com análise on-chain preliminar indicando perdas de cerca de US$ 7 milhões.
Vetores de Ataque e Cronologia
- 24 de dezembro de 2025: Versão 2.68 lançada via Chrome Web Store.
- 26 de dezembro de 2025, 00:15 UTC: o investigador de blockchain ZachXBT alerta a comunidade após observar movimentos rápidos de fundos de carteiras diversas.
- 26 de dezembro de 2025, 02:00 UTC: PeckShield confirma o desvio de mais de US$ 6 milhões, com ~40% dos ativos roubados lavados por meio de exchanges centralizadas.
- 26 de dezembro de 2025, 04:30 UTC: Trust Wallet emite aviso para desativar a versão 2.68 e atualizar para a versão corrigida 2.69.
- 26 de dezembro de 2025, 07:42 UTC: Trust Wallet confirma perdas totais de cerca de US$ 7 milhões e promete compensação total aos usuários.
Análise Técnica
Atacantes embutiram uma backdoor na cadeia de suprimentos ao injetar instrumentação PostHog JS nos scripts centrais da extensão. Isso permitiu a exfiltração em tempo real de frases semente descriptografadas e material de chaves privadas para um endpoint malicioso. O agrupamento on-chain revela que os ativos roubados foram divididos entre Bitcoin, Ethereum, Solana e outros tokens compatíveis com EVM, com os proventos agregados em um pequeno conjunto de endereços de saque antes da distribuição para exchanges para conversão em fiat.
Mitigação e Resposta
A Trust Wallet lançou a versão 2.69, que removeu o código malicioso e rotacionou assinaturas críticas usadas nas atualizações da extensão. Usuários afetados foram orientados a revogar as permissões da extensão, transferir os ativos remanescentes para carteiras novas e habilitar a autenticação de dois fatores onde disponível. O fundador da Binance, Changpeng Zhao (CZ), garantiu publicamente o reembolso pelo fundo SAFU. Firmas independentes de segurança estão auditando o código e monitorando vulnerabilidades residuais.
Implicações Mais Amplas
Este incidente destaca o aumento do risco em extensões de carteira baseadas em navegador. Ao contrário de hardware ou clientes de desktop totalmente independentes, extensões de navegador operam dentro do contexto de segurança do navegador, aumentando a superfície de ataque. Especialistas recomendam o uso de carteiras de hardware ou soluções de abstração de conta que imponham atrasos nas transações e exijam aprovações explícitas do usuário para alterações a nível de código.
Principais Conclusões
- O comprometimento da cadeia de suprimentos pode injetar código malicioso diretamente em atualizações de software legítimas.
- Avisos rápidos e implantação de patches, combinados com garantias públicas de compensação, são cruciais para o controle de danos.
- Ambientes de extensões de navegador permanecem vulneráveis; os usuários devem considerar alternativas de hardware ou multisig para grandes saldos.
Comentários (0)