Vdori v razširitve brskalnikov Trust Wallet izpraznijo uporabniške denarnice za 7 milijonov dolarjev

Pregled incidenta

26. december 2025 so se pojavila poročila o množičnih nepooblaščenih dvigih sredstev iz Chrome razširitve Trust Walleta za Chrome, verzija 2.68. V nekaj urah po običajni posodobitvi so napadalci v razširitev vstavili zlonamo kodo, ki je tiho zajemala seed fraze in zasebne ključe. Žrtve so poročale o nenadnem odtujitvi sredstev po več verigah, pri čemer je uvodna analiza na verigi blokov pokazala izgube okoli 7 milijonov dolarjev.

Vektor napada in časovnica

• 24. december 2025: verzija 2.68 je bila objavljena v Chrome Web Store-u.
• 26. december 2025, 00:15 UTC: Blockchain raziskovalec ZachXBT obvesti skupnost po opažanju hitrega premikanja sredstev iz različnih denarnic.
• 26. december 2025, 02:00 UTC: PeckShield potrdi odtekanje več kot 6 milijonov dolarjev, pri čemer je približno 40 % ukradenih sredstev opranih preko centraliziranih menjalnic.
• 26. december 2025, 04:30 UTC: Trust Wallet izda opozorilo, naj onemogočijo verzijo 2.68 in nadgradijo na popravljeno verzijo 2.69.
• 26. december 2025, 07:42 UTC: Trust Wallet potrdi skupne izgube v višini okoli 7 milijonov dolarjev in obljubi popolno odškodovanje uporabnikom.

Tehnična analiza

Napadalci so vgradili backdoor v verigo dobave z vstavljanjem instrumentacije PostHog JS v jedrne skripte razširitve. To je omogočilo sprotni izvoz dešifriranih seed fraz in podatkov zasebnih ključev na zlonameren končni naslov. Analiza po verigi blokov razkrije, da so ukradena sredstva razdelili med Bitcoin, Ethereum, Solana in druge žetone, kompatibilne z EVM, pri čemer so dobički združeni na manjši nabor naslovov za dvig sredstev, preden so jih razdelili na menjalnice za pretvorbo v fiat.

Ukrepi in odziv

Trust Wallet je izdal verzijo 2.69, ki je odstranila zlonamo kodo in zamenjala ključne podpise, ki se uporabljajo pri posodobitvah razširitev. Prizadeti uporabniki so bili pozvani, naj preverijo dovoljenja za razširitev, prenesejo preostala sredstva na sveže denarnice in omogočijo dvostopenjsko overjanje, kjer je mogoče. Ustanovitelj Binancea Changpeng Zhao (CZ) je javno zagotovil povračilo iz sklada SAFU. Neodvisna varnostna podjetja pregledajo kodo in spremljajo morebitne preostale ranljivosti.

Širše posledice

Ta incident poudarja povečano tveganje povezano z razširitvami denarnic, ki delujejo v brskalniku. V primerjavi z verigi ali popolnoma samostojnimi namiznimi odjemalci razširitve brskalnikov delujejo v varnostnem kontekstu brskalnika, kar povečuje njihovo napadalno površino. Strokovnjaki priporočajo uporabo strojnih denarnic ali rešitev za abstrakcijo računov, ki uvajajo zamude pri transakcijah in zahtevajo izrecna uporabniška odobritva za spremembe na ravni kode.

Glavne ugotovitve

1. Kompromis verige dobave lahko zlonamo kodo neposredno vključi v legitimne programske posodobitve.
2. Hitro obveščanje in uvedba popravkov ter javne garancije za povračilo škode so ključni za omejevanje škode.
3. Okolja razširitev brskalnika ostajajo ranljiva; uporabniki bi morali razmisliti o strojnih denarnicah ali rešitvah z več podpisov za velike zneske.