Panoramica
Trust Wallet cunfirmau ca nu attaccu di la catena di furnimentu, ca vinni attravirsu nu aggiornamentu di na estensione Chrome cumpromissu, purtau perduti di circa $8.5 milioni. Na chiavi API di Google Chrome Web Store ca fu leakata permittiu a l'attaccanti di caricari na versione maliziosa di l'estensione dĂ» navigaturi Trust Wallet directamenti ntĂ´ Web Store ufficiali, aggirannu la rivisioni dĂ» codice e li controlli di sicurezza.
Dettagghi di l'attaccu
- Periodu di l'attaccu: 24–26 di Dicèmmiru 2025
- Versioni di l'estensione: 2.68
- Cuntu di vittimi: 2,520 indirizzi di wallet
- Metudu: Codici maliziosi camuffati comu trafficu analiticu a na pĂ gina finta metrics-trustwallet[.]com
Analisi tènnica
Categuria di l'attaccu di la catena di furnimentu: compromissu di chiavi. A differenza di li sfruttamenti tipici a li contratti intelligenti, st'incident puntau a lu meccanismu di distribuzioni. Li credenziali privati usati ppi pubbricari l'estensione foru esposti, permettendu l'iniezioni di codici di esfiltrazioni ntâ pipeline di rilascio. Nun fu sfruttata vulnerabilità on-chain; l'utenti finali foru mirati attraversu na infrastruttura di fiducia.
Misuri di risposta
- Li credenziali API compromessi foru revucati subitu.
- Ritiratu a la versione sicura di l'estensione 2.69.
- Implementata na gestione migliorata di li chiavi di rilascio e autenticazzioni multi-fatturi supra li sistemi di deployment.
- Offertu rimborsu a tutti li vittimi eliggìbbili, cu copertura di tutti li perduti.
Implicazioni ntâ industria
Elementi di infrastruttura critica, comu li chiavi di distribuzioni, rapprisèntanu na sulu puntu di fallimentu. Li portafogghji basati supra estensioni dû Wallet hannu a aduttari na rotazzioni rigorusa di credenziali, monitoraggi di l'account di l'editori, e firma di codici fora di banda ppi mitigari rischi simili. Li squadri di sicurezza hannu a cunsidirari li vettori di la catena di furnimentu cu la stessa priorità comu l'auditi di li contratti intelligenti.
Raccomandazioni pĂ® utenti
Li utenti ca installaru la versione 2.68 hannu a supponiri ca foru compromessi, moviri li fondi versu portafogghi novu criati supra nu dispusitivu sicuru, e rigenerari li frasi di seed. Verificazioni di la versioni di l'estensione e l'aghjurnamentu a v2.69 o cchiù è obligatori. Li rivindicazzioni ppi rimbursu s'hannu a jiri attravirsu li canali ufficiali di supportu di Trust Wallet.
Cummenti (0)