Genel Bakış
Trust Wallet, bozulan Chrome uzantı güncellemesi yoluyla bir tedarik zinciri saldırısının yaklaşık 8.5 milyon dolar zarara yol açtığını doğruladı. Sızdırılan Google Chrome Web Store API anahtarı, saldırganların Trust Wallet tarayıcı uzantısının kötü amaçlı bir sürümünü doğrudan resmi Web Store'a yüklemesini sağladı; böylece kod incelemesi ve güvenlik kontrolleri atlandı.
Saldırı Detayları
- Saldırı dönemi: 24 Aralık – 26 Aralık 2025
- Uzantı sürümü: 2.68
- Kurban sayısı: 2.520 cüzdan adresi
- Yöntem: Analytics trafiği gibi görünen kötü amaçlı kod, metrics-trustwallet[.]com adlı sahte bir alan adına yönlendirildi
Teknik Analiz
Tedarik zinciri saldırısı kategorisi: Anahtar ele geçirilmesi. Tipik akıllı sözleşme istismarlarının aksine bu olay dağıtım mekanizmasını hedefledi. Uzantıyı yayımlamak için kullanılan özel kimlik bilgilerinin ele geçirildiği ve sürüm hattına veri sızıntısı kodunun enjekte edilmesini sağladığı ortaya çıktı. Zincirde herhangi bir güvenlik açığı istismar edilmedi; son kullanıcılar güvenilir altyapı üzerinden hedef alındı.
Yanıt Önlemleri
- İhlal edilmiş API kimlik bilgilerinin derhal iptal edilmesi.
- Güvenli uzantı sürümü olan 2.69'a geri dönüldü.
- Dağıtım sistemlerinde geliştirilmiş sürüm anahtarı yönetimi ve çok faktörlü kimlik doğrulama uygulandı.
- Tüm uygun mağdurlara, kayıpların tamamını kapsayacak şekilde tazminat teklif edildi.
Endüstri İçin Sonuçlar
Dağıtım anahtarları gibi kritik altyapı öğeleri tek bir arıza noktası oluşturur. Uzantı tabanlı cüzdanlar benzer riskleri azaltmak için sıkı kimlik bilgisi rotasyonu, yayımlayıcı hesaplarının izlenmesi ve harici kod imzalama uygulamalıdır. Güvenlik ekipleri, tedarik zinciri vektörlerini akıllı sözleşme denetimleriyle aynı öncelikte değerlendirmelidir.
Kullanıcı Önerileri
2.68 sürümünü yükleyen kullanıcılar güvenlik ihlali olduğunu varsaymalı, güvenli bir cihazda oluşturulan yeni cüzdanlara aktarılmalı ve tohum ifadelerini yeniden oluşturmalıdır. Uzantı sürümünün doğrulanması ve 2.69 veya daha üstüne güncelleme zorunludur. Tazminat talepleri resmi Trust Wallet destek kanalları üzerinden sunulmalıdır.
Yorumlar (0)