Breșe în extensiile de browser Trust Wallet: scurg 7 milioane de dolari de la utilizatori

Prezentare generală a incidentului

La data de 26 decembrie 2025, au apărut rapoarte despre retrageri în masă neautorizate din extensia Trust Wallet pentru Chrome, versiunea 2.68. Cu câteva ore după o actualizare de rutină, atacatorii au lansat un cod malițios în extensie care a captat în mod silențios frazele seed și cheile private. Victimele au raportat retrageri bruște de fonduri pe mai multe lanțuri, cu o analiză on-chain inițială indicând pierderi de aproximativ 7 milioane de dolari.

Vectorul de atac și cronologia

• 24 decembrie 2025: versiunea 2.68 a fost lansată în Chrome Web Store.
• 26 decembrie 2025, 00:15 UTC: detectivul blockchain ZachXBT avertizează comunitatea după observarea unor mișcări rapide de fonduri din portofele diverse.
• 26 decembrie 2025, 02:00 UTC: PeckShield confirmă sustragerea de peste 6 milioane de dolari, iar aproximativ 40% din activele furate au fost spălate prin exchange-uri centralizate.
• 26 decembrie 2025, 04:30 UTC: Trust Wallet emite un avertisment pentru dezactivarea versiunii 2.68 și actualizarea la versiunea 2.69 remediată.
• 26 decembrie 2025, 07:42 UTC: Trust Wallet confirmă pierderi totale de aproximativ 7 milioane de dolari și promite despăgubiri integrale utilizatorilor.

Analiză tehnică

Atacatorii au introdus în lanțul de aprovizionare o ușă din spate prin injectarea instrumentației PostHog JS în scripturile de bază ale extensiei. Aceasta a permis exfiltrarea în timp real a frazelor seed decriptate și a materialelor cheilor private către un endpoint malițios. Clusterizarea on-chain relevă că activele furate au fost împărțite între Bitcoin, Ethereum, Solana și alte tokenuri compatibile cu EVM, iar veniturile au fost adunate într-un set mic de adrese de retragere înainte de distribuția către exchange-uri pentru conversia în valută fiat.

Măsuri de atenuare și răspuns

Trust Wallet a lansat versiunea 2.69, care a eliminat codul malițios și a rotit semnăturile critice folosite în actualizările extensiilor. Utilizatorii afectați au fost îndrumați să revoce permisiunile extensiei, să transfere bunurile rămase în portofele noi și să activeze autentificarea în doi factori acolo unde este disponibilă. Fondatorul Binance, Changpeng Zhao (CZ), a garantat public rambursarea prin fondul SAFU. Companiile de securitate independente auditează baza de cod și monitorizează pentru vulnerabilități reziduale.

Implicații mai largi

Acest incident subliniază riscul crescut asociat extensiilor de portofel bazate pe browser. Spre deosebire de portofele hardware sau clienți desktop complet independenți, extensiile pentru browser funcționează în contextul de securitate al browserului, ceea ce crește suprafața de atac. Experții recomandă utilizarea portofelelor hardware sau a soluțiilor de abstracție a contului care impun întârzieri ale tranzacțiilor și solicită aprobări explicite ale utilizatorului pentru modificări la nivel de cod.

Idei cheie

1. Compromiterea lanțului de aprovizionare poate injecta cod malițios direct în actualizările software legitime.
2. Avertizările rapide și implementarea patch-urilor, împreună cu garanțiile publice de despăgubire, sunt cruciale pentru limitarea pagubelor.
3. Mediile de extensie ale browserului rămân vulnerabile; utilizatorii ar trebui să ia în considerare portofele hardware sau alternative multi-sig pentru fonduri semnificative.