Trust Wallet mastikeun peretasan ranté pasokan senilai $8,5 juta ngaliwatan konci API Chrome anu bocor

Ringkesan

Trust Wallet mastikeun yén serangan ranté pasokan ngaliwatan pembaruan ekstensi Chrome anu kompromi nyababkeun karugian kira-kira $8,5 juta. Konci API Google Chrome Web Store anu bocor ngamungkinkeun para panyerang ngunggah vérsi ekstensi peramban Trust Wallet anu jahat langsung ka Web Store resmi, ngaliwatan tinjauan kode jeung pamariksaan kaamanan.

Rincian Serangan

• Periode serangan: 24–26 Désémber 2025
• Vérsi ekstensi: 2.68
• Jumlah korban: 2.520 alamat dompet
• Métode: Kode jahat anu disamarkeun salaku lalulintas analitik ka domain palsu metrics-trustwallet[.]com

Analisis Téknis

Kategori serangan ranté pasokan: kompromi konci. Béda jeung eksploit kontrak pinter anu biasa, kajadian ieu nargetkeun mékanisme distribusi. Kredensial pribadi anu dipaké pikeun nyebarkeun ekstensi geus kabuka, ngamungkinkeun injék kode éksfiltrasi kana alur rilis. Henteu aya kerentanan on-chain anu dimanfaatkeun; pamaké akhir dituju ngaliwatan infrastruktur anu dipercaya.

Langkah Réaksi

• Kredensial API anu kompromi ditarik deui kalayan gancang.
• Balik deui ka vérsi ekstensi anu aman 2.69.
• Nerapkeun manajemén konci rilis anu leuwih kuat sareng oténtikasi multi-faktor dina sistem deployment.
• Nawarkeun ganti rugi pikeun sakabéh korban anu layak, nutupan sakabéhna karugian.

Implikasi Industri

Bagian infrastruktur kritis sapertos konci distribusi ngagambarkeun hiji titik kagagalan. Dompet berbasis ekstensi kedah ngagunakeun rotasi kredensial anu leuwih tegas, ngawas akun publikator, sareng penandatanganan kode sacara saluran luar pikeun ngirangan risiko sarupa. Tim kaamanan kedah mertimbangkeun vektor ranté pasokan kalayan prioritas anu sami sareng audit kontrak pinter.

Saran Pangguna

Pangguna anu masang vérsi 2.68 kedah nganggap yén kompromi parantos kajantenan, mindahkeun dana ka dompet anyar anu dijieun dina alat anu aman, sareng nyieun deui frasa seed. Verifikasi vérsi ekstensi jeung ngapdet ka v2.69 atawa leuwih luhur wajib dilaksanakeun. Klaim ganti rugi kedah diajukeun ngaliwatan jalur dukungan resmi Trust Wallet.