Trust Wallet bekräftar en leveranskedjeattack värd 8,5 miljoner dollar via en läckt Chrome API-nyckel

Översikt

Trust Wallet har bekräftat att ett försörjningskedjeangrepp genom en komprometterad uppdatering av Chrome-tillägget resulterade i förluster på cirka $8,5 miljoner. En läckt API-nyckel för Google Chrome Web Store tillät angripare att ladda upp en skadlig version av Trust Wallets webbläsartillägg direkt till den officiella Web Store, vilket kringgick kodgranskning och säkerhetskontroller.

Angreppets detaljer

• Angreppets period: 24–26 december 2025
• Tilläggsversion: 2.68
• Antal drabbade: 2 520 plånboksadresser
• Metod: Skadlig kod maskerad som analytiktrafik till en falsk domän metrics-trustwallet[.]com

Teknisk analys

Försörjningskedjeattackens kategori: nyckelkompromiss. Till skillnad från vanliga misstag i smarta kontrakt utnyttjades denna händelse distributionsmekanismen. Privata uppgifter som användes för att publicera tillägget exponerades, vilket möjliggjorde injektion av exfiltrationskod i release-pipelinen. Ingen on-chain-sårbarhet utnyttjades; slutanvändare var måltavla via betrodd infrastruktur.

Åtgärder

• Omedelbart återkallade de komprometterade API-uppgifterna.
• Återställd till säkrare tilläggsversion 2.69.
• Införde förbättrad hantering av release-nycklar och multifaktorautentisering på distributionssystemen.
• Erbjöd ersättning till samtliga berättigade drabbade, som täckte samtliga förluster.

Industriella konsekvenser

Kritiska infrastrukturella element som distributionsnycklar utgör en enda felpunkt. Tilläggsbaserade plånböcker bör anta strikt rotation av behörighetsuppgifter, övervakning av publicist-konton samt kodsignering utanför ordinarie kanaler för att motverka liknande risker. Säkerhetsteam måste betrakta leveranskedjans vektorer med samma prioritet som granskningar av smarta kontrakt.

Användarråd

Användare som installerade version 2.68 måste anta att deras plånböcker är komprometterade, flytta medel till nya plånböcker genererade på en säker enhet och återskapa sina fröfraser. Verifiering av tilläggsversion och uppdatering till v2.69 eller högre är obligatorisk. Anspråk om ersättning ska lämnas via officiella Trust Wallet-supportkanaler.