Trust Wallets ยืนยันการแฮ็กห่วงโซ่อุปทานมูลค่า 8.5 ล้านดอลลาร์ ผ่านคีย์ API ของ Chrome ที่รั่วไหล

ภาพรวม

Trust Wallet ยืนยันว่าเหตุการณ์การโจมตีห่วงโซ่อุปทานผ่านการอัปเดตส่วนขยาย Chrome ที่ถูกบุกรุก ทำให้มียอดขาดทุนประมาณ 8.5 ล้านดอลลาร์ สาเหตุที่รั่วไหลของ Google Chrome Web Store API key ช่วยให้นักโจมตีอัปโหลดเวอร์ชันที่เป็นอันตรายของส่วนขยาย Trust Wallet สำหรับเบราว์เซอร์ไปยัง Web Store อย่างเป็นทางการโดยตรง โดยข้ามการทบทวนโค้ดและการตรวจสอบความปลอดภัย

รายละเอียดการโจมตี

• ระยะเวลาการโจมตี: 24–26 ธันวาคม 2025
• เวอร์ชันส่วนขยาย: 2.68
• จำนวนผู้ได้รับผลกระทบ: 2,520 ที่อยู่กระเป๋าเงิน
• วิธีการ: โค้ดที่เป็นอันตรายถูกหลอกให้ดูเหมือนทราฟฟิกการวิเคราะห์ไปยังโดเมนปลอม metrics-trustwallet[.]com

การวิเคราะห์ทางเทคนิค

การโจมตีห่วงโซ่อุปทานประเภทการละเมิดคีย์ ไม่เหมือนกับการโจมตีสัญญาอัจฉริยะทั่วไป เหตุการณ์นี้มุ่งเป้าไปที่กลไกการแจกจ่าย ข้อมูลประจำตัวที่ใช้เผยแพร่ส่วนขยายถูกเปิดเผย ทำให้สามารถแทรกโค้ดขนถ่ายข้อมูลออกลงในสายการปล่อยได้ ไม่มีช่องโหว่บนเครือข่ายบล็อกเชนที่ถูกใช้งาน ผู้ใช้งานปลายทางถูกโจมตีผ่านโครงสร้างพื้นฐานที่เชื่อถือได้

มาตรการตอบสนอง

• เพิกถอนข้อมูลรับรอง API ที่ถูกละเมิดทันที
• ย้อนกลับไปใช้งานเวอร์ชันส่วนขยายที่ปลอดภัยเวอร์ชัน 2.69
• ดำเนินการปรับปรุงการจัดการคีย์สำหรับการปล่อยเวอร์ชันและระบบการยืนยันตัวตนแบบหลายปัจจัยบนระบบการเผยแพร่
• เสนอการชดเชยแก่ผู้เสียหายที่มีสิทธิ์ทั้งหมด ครอบคลุมการสูญเสียทั้งหมด

ผลกระทบต่ออุตสาหกรรม

องค์ประกอบโครงสร้างพื้นฐานที่สำคัญ เช่น กุญแจการแจกจ่าย ถือเป็นจุดที่ล้มเหลวได้ Wallet ที่อิงส่วนขยายควรนำแนวทางการหมุนเวียนข้อมูลประจำตัวอย่างเข้มงวด การติดตามบัญชีผู้เผยแพร่ และการลงนามโค้ดแบบนอกสายเพื่อบรรเทาความเสี่ยงที่คล้ายกัน ทีมด้านความปลอดภัยควรพิจารณาแนวทางห่วงโซ่อุปทานด้วยความสำคัญเทียบเท่ากับการตรวจสอบสัญญาอัจฉริยะ

คำแนะนำสำหรับผู้ใช้

ผู้ใช้ที่ติดตั้งเวอร์ชัน 2.68 ควรถือว่าถูกรุกล้ำ ย้ายทรัพย์ไปยังกระเป๋าเงินใหม่ที่สร้างบนอุปกรณ์ที่ปลอดภัย และสร้าง seed phrase ใหม่ การตรวจสอบเวอร์ชันของส่วนขยายและการอัปเดตเป็น v2.69 หรือสูงกว่าเป็นสิ่งบังคับ คำเรียกร้องค่าชดเชควรส่งผ่านช่องทางสนับสนุนทางการของ Trust Wallet