เหตุการณ์เจาะระบบส่วนขยายเบราว์เซอร์ Trust Wallet ดูดเงิน 7 ล้านดอลลาร์จากผู้ใช้

ภาพรวมเหตุการณ์

ในวันที่ 26 ธันวาคม 2025 มีรายงานการถอนเงินโดยไม่ได้รับอนุญาตจำนวนมากจากส่วนขยาย Trust Wallet บนเบราว์เซอร์ Chrome รุ่น 2.68 ภายในไม่กี่ชั่วโมงหลังอัปเดตตามปกติ ผู้โจมตีได้ติดตั้งโค้ดอันตรายในส่วนขยายดังกล่าว ซึ่งทำให้สามารถลักลอบรวบรวม seed phrases และ private keys ได้เงียบๆ ผู้ที่ได้รับผลกระทบรายงานว่ากระแสเงินถูกถอนออกจากเครือข่ายหลายสายพันธุ์อย่างกะทันหัน และการวิเคราะห์บนเครือข่ายเบื้องต้นชี้ให้เห็นถึงการสูญเสียราว 7 ล้านดอลลาร์

ตัวเวกเตอร์การโจมตีและไทม์ไลน์

• 24 ธันวาคม 2025: เวอร์ชัน 2.68 ถูกเผยแพร่ผ่าน Chrome Web Store
• 26 ธันวาคม 2025, 00:15 UTC: นักสืบข้อมูลบล็อกเชน ZachXBT แจ้งชุมชนหลังจากสังเกตการเคลื่อนไหวของเงินทุนจากกระเป๋าสตางค์ที่หลากหลาย
• 26 ธันวาคม 2025, 02:00 UTC: PeckShield ยืนยันการขโมยเงินมากกว่า 6 ล้านดอลลาร์
• 26 ธันวาคม 2025, 04:30 UTC: Trust Wallet ออกคำแนะนำให้ปิดใช้งานเวอร์ชัน 2.68 และอัปเกรดเป็นเวอร์ชันแก้ไข 2.69
• 26 ธันวาคม 2025, 07:42 UTC: Trust Wallet ยืนยันว่าขาดทุนรวมประมาณ 7 ล้านดอลลาร์ และสัญญาชดเชยผู้ใช้ทั้งหมด

วิเคราะห์ทางเทคนิค

ผู้โจมตีฝัง backdoor ในห่วงโซ่อุปทานโดยการฉีด PostHog JS instrumentation เข้าไปในสคริปต์หลักของส่วนขยาย ซึ่งทำให้สามารถลักลอบส่งออก seed phrases ที่ถอดรหัสแล้วและข้อมูล private keys ไปยังจุดปลายทางที่เป็นอันตรายแบบเรียลไทม์ การจัดกลุ่มบนเครือข่ายบล็อกเชนเผยให้เห็นว่าสินทรัพย์ที่ถูกขโมยถูกแบ่งออกไปยัง Bitcoin, Ethereum, Solana และโทเคนที่รองรับ EVM อื่นๆ โดยรายได้ถูกรวบรวมไว้ในที่อยู่ถอนเงินไม่กี่ที่อยู่ก่อนกระจายไปยังการแลกเปลี่ยนเพื่อแปลงเป็นเงินสด

มาตรการบรรเทาและการตอบสนอง

Trust Wallet ออกเวอร์ชัน 2.69 ซึ่งลบโค้ดที่เป็นอันตรายออกและหมุนเวียนลายเซ็นสำคัญที่ใช้ในการอัปเดตส่วนขยาย ผู้ใช้ที่ได้รับผลกระทบถูกแนะนำให้เพิกถอนสิทธิ์ของส่วนขยาย โอนทรัพย์สินที่เหลือไปยังวอลเล็ตใหม่ และเปิดใช้งานการยืนยันตัวตนแบบสองขั้นตอนเมื่อมีให้ บริษัทความปลอดภัยอิสระกำลังตรวจสอบฐานรหัสและเฝ้าระวังช่องโหว่ที่เหลืออยู่ ผู้ก่อตั้ง Binance, Changpeng Zhao (CZ) ให้คำมั่นต่อสาธารณะว่าจะชดเชยภายใต้กองทุน SAFU

ผลกระทบในภาพรวม

เหตุการณ์นี้เน้นย้ำถึงความเสี่ยงที่เพิ่มขึ้นรอบๆ ส่วนขยายวอลเล็ตบนเบราว์เซอร์ ไม่เหมือนกับฮาร์ดแวร์หรือไคลเอนต์เดสก์ท็อปที่ทำงานอย่างอิสระ ส่วนขยายบนเบราว์เซอร์ทำงานภายใต้บริบทความปลอดภัยของเบราว์เซอร์ ซึ่งทำให้พื้นที่การโจมตีขยายตัวมากขึ้น ผู้เชี่ยวชาญแนะนำให้ใช้งานฮาร์ดแวร์วอลเล็ตหรือโซลูชันการทำให้บัญชีเป็นแบบนามธรรม (account-abstraction) ที่บังคับให้มีการหน่วงเวลาธุรกรรมและต้องการการอนุมัติจากผู้ใช้อย่างชัดเจนสำหรับการเปลี่ยนแปลงระดับโค้ด

บทเรียนสำคัญ

1. การถูกโจมตีห่วงโซ่อุปทานสามารถฝังโค้ดอันตรายลงในการอัปเดตซอฟต์แวร์ที่ถูกต้องตามกฎหมายได้โดยตรง
2. คำแนะนำและการออกแพทช์อย่างรวดเร็วร่วมกับการรับประกันชดเชยต่อสาธารณะเป็นสิ่งสำคัญในการควบคุมความเสียหาย
3. สภาพแวดล้อมของส่วนขยายเบราว์เซอร์ยังมีช่องโหว่ ผู้ใช้งานควรพิจารณาการใช้งานฮาร์ดแวร์วอลเล็ตหรือทางเลือก multi-sig สำหรับการถือครองจำนวนมาก