Olay Özeti
26 Aralık 2025 tarihinde Trust Wallet'ın Chrome tarayıcı uzantısı sürümü 2.68 üzerinden toplu yetkisiz para çekimlerine dair raporlar ortaya çıktı. Saatler içerisinde, rutin bir güncellemenin ardından saldırganlar uzantının içine zararlı kod yerleştirerek tohum ifadelerini ve özel anahtarları sessizce ele geçirdi. Mağdurlar, birden çok zincirde aniden para kaybı yaşadıklarını bildirdi; ön zincir analizi kayıpların yaklaşık 7 milyon dolar olduğunu gösterdi.
Saldırı Yolu ve Zaman Çizelgesi
- 24 Aralık 2025: Chrome Web Store üzerinden sürüm 2.68 yayımlandı.
- 26 Aralık 2025, 00:15 UTC: Çeşitli cüzdanlardan hızlı para hareketlerini gözlemleyen blok zinciri dedektörü ZachXBT topluluğu bilgilendirdi.
- 26 Aralık 2025, 02:00 UTC: PeckShield, çalınan miktarın >6 milyon dolar olduğunu doğruladı; çalınan varlıkların yaklaşık %40'ı merkezileştirilmiş borsalar üzerinden aklandı.
- 26 Aralık 2025, 04:30 UTC: Trust Wallet, sürüm 2.68'in devre dışı bırakılması ve yamalı sürüm 2.69'a yükseltilmesi konusunda uyarı yayımladı.
- 26 Aralık 2025, 07:42 UTC: Trust Wallet toplam kaybın yaklaşık 7 milyon dolar olduğunu doğruladı ve tüm kullanıcıları telafi etme taahhüdünde bulundu.
Teknik Analiz
Saldırganlar, uzantının ana betiklerine PostHog JS enstrümantasyonunu enjekte ederek tedarik zinciri üzerinden arka kapı kurdu. Bu, çözümlenmiş seed ifadeleri ve özel anahtar malzemesinin sahte bir uç noktaya gerçek zamanlı olarak sızdırılmasına olanak tanıdı. Blok zinciri kümeleşmesi, çalınan varlıkların Bitcoin, Ethereum, Solana ve diğer EVM uyumlu token’lar arasında bölündüğünü, elde edilen getirilerin fiat'a dönüştürülmek üzere borsalara dağıtılmadan önce küçük bir çıkış adresi kümesine toplandığını gösteriyor.
Tedbirler ve Yanıt
Trust Wallet, zararlı kodu kaldıran ve uzantı güncellemelerinde kullanılan kritik imzaları değiştiren sürüm 2.69'ı yayımladı. Etkilenen kullanıcılara uzantı izinlerini iptal etmeye, kalan varlıkları temiz cüzdanlara aktarmaya ve mümkün olduğunda iki faktörlü kimlik doğrulamayı etkinleştirmeye çağrıldı. Binance kurucusu Changpeng Zhao (CZ), SAFU fonu kapsamında geri ödeme garantisi verdi. Bağımsız güvenlik firmaları kod tabanını denetliyor ve kalan güvenlik açıklarını izliyor.
Daha Geniş Sonuçlar
Bu olay, tarayıcı tabanlı cüzdan uzantılarıyla ilgili artan riski vurguluyor. Donanım veya tamamen bağımsız masaüstü istemcilerden farklı olarak, tarayıcı uzantıları tarayıcının güvenlik bağlamı içinde çalıştığından saldırı yüzeyi artıyor. Uzmanlar, işlem gecikmesini zorunlu kılan ve kod düzeyinde değişiklikler için açık kullanıcı onayı gerektiren donanım cüzdanları veya hesap soyutlama çözümlerinin kullanılmasını öneriyor.
Önemli Dersler
- Tedarik zinciri güvenliğinin bozulması, meşru yazılım güncellemelerine doğrudan zararlı kod enjekte edebilir.
- Hızlı uyarı ve yamaların dağıtımı ile kamuya açık tazminat garantilerinin bir arada olması zarar kontrolü için kritik öneme sahiptir.
- Tarayıcı uzantısı ortamları hâlâ savunmasızdır; büyük meblağlara sahip kullanıcılar donanım cüzdanları veya çok imzalı (multi-sig) alternatifleri düşünmelidir.
Yorumlar (0)