เหตุการณ์ส่วนขยายเบราว์เซอร์ของ Trust Wallet ถอนทรัพย์สินคริปโตมากกว่า 6 ล้านดอลลาร์

เมื่อวันที่ 25 ธันวาคม ผู้ใช้งานสกุลเงินดิจิทัลหลายรายรายงานการถอนเงินที่รวดเร็วและไม่ได้รับอนุญาตจากส่วนขยายเบราว์เซอร์ Trust Wallet ของพวกเขา ซึ่งกระตุ้นคำเตือนชุมชนทันที รายงานเบื้องต้นเผยแพร่ผ่านนักสืบบนเชน ZachXBT ซึ่งระบุที่อยู่ที่ถูกเจาะหลายร้อยแห่งทั่วเครือข่ายที่เข้ากันได้กับ EVM, Bitcoin และ Solana ในช่วงเวลาสองชั่วโมง ความเพิ่มขึ้นอย่างรวดเร็วของการขาดทุนที่รายงาน—ประเมินเบื้องต้นมากกว่า 6 ล้านดอลลาร์—ทำให้เกิดคำเตือนเร่งด่วนบน Telegram และ X กระตุ้นให้ผู้ใช้ทุกคนยกเลิกการอนุมัติและถอนเงิน

นักวิจัยชุมชนระบุอย่างรวดเร็วว่าเวอร์ชัน 2.68 ของ Trust Wallet สำหรับ Chrome เป็นตัวเชื่อมโยงร่วมเดียวกัน การตรวจสอบไฟล์ JavaScript ของส่วนขยายเผยให้เห็นการเพิ่มเติมที่ไม่อธิบายไว้ในบันทึกการเปิดตัวอย่างเป็นทางการ “4482.js” ซึ่งหายไปจากบันทึกการเผยแพร่อย่างเป็นทางการ ชิ้นส่วนโค้ดที่ดูน่าสงสัยซึ่งถูกปิดบังในฐานะฟังก์ชันวิเคราะห์ข้อมูลจริงๆ กลับสามารถจดจำวลีเมล็ด (seed phrase) ส่งไปยัง metrics-trustwallet[.]com แล้วล้างกระเป๋าเงินโดยอัตโนมัติเมื่อมีการนำเข้า seed phrase เนื้อหามัลแวร์ดังกล่าวจะทำงานเมื่อมีเหตุการณ์นำเข้าสกระเป๋าเงินเท่านั้น จงเลี่ยงการตรวจพบได้ในระยะแรก

การวิเคราะห์ติดตามเส้นทางหลังเหตุการณ์พบทรัพย์สินที่ถูกขโมยมากกว่า 6 ล้านดอลลาร์ที่ถูกไหลผ่านเครื่องผสมความเป็นส่วนตัวและบริการการทำให้ปลอดข้อมูล เน้นเจตนาของผู้โจมตีในการฟอกเงินอย่างรวดเร็ว ที่อยู่ผู้เสียหายรวมถึงบัญชีมัลติซิกภายใน, กระเป๋าเงินบุคคลที่มีมูลค่าสูง และนักลงทุนร้านค้าปลีกรายย่อย แสดงให้เห็นถึงช่องโหว่ของกระเป๋าเงินบนเบราว์เซอร์ต่อการโจมตีห่วงโซ่อุปทาน ธุรกรรมจากตัวผสมหลัก เช่น Tornado Cash และ Wasabi Wallet ก็ถูกสังเกตเช่นกัน ซึ่งบ่งชี้ถึงกลยุทธ์การฟอกเงินที่ประสานกัน

หลังจากการตรวจสอบสาธารณะ Trust Wallet ออกคำแนะนำอย่างเป็นทางการยอมรับเหตุการณ์ด้านความปลอดภัยที่มีผลกระทบเฉพาะเวอร์ชันส่วนขยาย 2.68 คำแนะนำคือปิดการใช้งานส่วนขยายทันที อัปเกรดเป็นเวอร์ชัน 2.69 จาก Chrome Web Store อย่างเป็นทางการ และหลีกเลี่ยงการนำเข้า seed phrase ในสภาพแวดล้อมของเบราว์เซอร์ ผู้ใช้บนมือถือและผู้ที่ไม่ใช่ Chrome รายงานว่าไม่ได้รับผลกระทบ Trust Wallet ย้ำว่าการละเมิดครั้งนี้ไม่ได้กระทบแอปมือถือหลักหรือสัญญาอัจฉริยะบนเครือข่าย

เหตุการณ์นี้จุดชนวนการถกเถียงเกี่ยวกับความเสี่ยงในการถือครองเองและความปลอดภัยในการปฏิบัติการ ผู้เชี่ยวชาญย้ำว่า สภาพแวดล้อมในการจัดการกุญแจมีความสำคัญเทียบเท่ากับโปรโตคอลคริปโต และความสมบูรณ์ของห่วงโซ่อุปทานต้องถูกบังคับใช้อย่างเข้มงวดโดยทั้งผู้ให้บริการกระเป๋าเงินและตลาดเบราว์เซอร์ ในฐานะมาตรการป้องกันทันที นักวิจัยด้านความปลอดภัยแนะนำให้ผู้ใช้ที่ได้รับผลกระทบ ย้ายทรัพย์สินที่เหลืออยู่ไปยังกระเป๋าเงินใหม่ที่สร้างบนอุปกรณ์ที่ปลอดภัยและแยกจากเครือข่าย ถอนการอนุมัติ dApp ทั้งหมด และติดตามกิจกรรมเครือข่ายเพื่อหาปฏิสัมพันธ์ที่สงสัย

หลังจากการโจมตี ความต้องการให้มีการตรวจสอบส่วนขยายที่เป็นมาตรฐาน บันทึกการเปลี่ยนแปลงที่โปร่งใส และการตรวจสอบโดยอิสระมีเสียงดังมากขึ้น บริษัทความปลอดภัยบล็อกเชนและกลุ่มผู้ตรวจสอบโอเพ่นซอร์สกำลังร่วมมือกันพัฒนาเครื่องมือเพื่อตรวจหาซอฟต์แวร์ฝั่งไคลเอนต์ที่ผิดปกติในส่วนขยายกระเป๋าเงินที่นิยม สำหรับตอนนี้เหตุการณ์ Trust Wallet เป็นตัวอย่างชัดเจนของช่องโหว่ห่วงโซ่อุปทานที่สามารถทำลายคำมั่นสัญญาของการควบคุมสินทรัพย์ด้วยตนเอง กระตุ้นชุมชนให้ให้ความสำคัญกับความปลอดภัยตั้งแต่ต้นจนจบในการออกแบบและการจัดจำหน่ายกระเป๋าเงิน