Złośliwe aktualizacja rozszerzenia Trust Wallet dla przeglądarki Chrome spowodowała kradzież milionów dolarów od użytkowników, co wywołało poważne obawy dotyczące portfeli opartych na przeglądarkach.
Co naprawdę się wydarzyło
24 grudnia Trust Wallet wydało wersję 2.68 swojego rozszerzenia dla Chrome. Użytkownicy nie wiedzieli, że ta aktualizacja zawierała ukryty kod złośliwy, maskowany jako rutynowa funkcja analityczna.
Kiedy użytkownicy otwierali swoje portfele lub importowali frazy odzyskiwania, złośliwy skrypt cicho przechwytywał poufne dane i przesyłał je do fałszywego domeny — metrics-trustwallet.com — który został zarejestrowany jedynie kilka dni przed atakiem.
Dzięki dostępowi do fraz seed, atakujący nie potrzebowali zatwierdzeń transakcji. Po prostu przywrócili portfele gdzie indziej i całkowicie je opróżnili.
Wpływ do tej pory
🔹 Ponad 7 milionów dolarów skradzionych
🔹 Setki portfeli skompromitowanych
🔹 Aktywa opróżnione w Bitcoinie, Ethereum, Solanie i BNB Chain
🔹 Niektórzy użytkownicy stracili sześciocyfrowe kwoty w ciągu kilku minut
🔹 Środki przekierowane przez usługi takie jak ChangeNOW, FixedFloat, KuCoin i HTX
CZ odpowiada
Założyciel Binance Changpeng Zhao (CZ) potwierdził, że wszyscy dotknięci użytkownicy zostaną w pełni zrekompensowani:
„Jak dotąd, około 7M zostało dotkniętych. Trust Wallet pokryje straty. Fundusze użytkowników są SAFU.”
CZ również stwierdził, że zespół aktywnie bada, jak złośliwa aktualizacja została zatwierdzona, sugerując, że wewnętrzne naruszenie lub dostęp insidera mogły odegrać rolę.
Co powinieneś teraz zrobić
→ Jeśli używasz rozszerzenia Trust Wallet Chrome, natychmiast sprawdź swoją wersję
→ NIE używaj wersji 2.68
→ Zaktualizuj do wersji 2.69 tylko z oficjalnego sklepu Chrome Web Store
→ Jeśli używałeś v2.68 i wpisałeś swoją frazę seed, natychmiast przenieś swoje fundusze do nowego portfela
Ostateczne myśli
Ten incydent podkreśla unikalne ryzyka związane z portfelami opartymi na przeglądarkach. W przeciwieństwie do exploitów kontraktów inteligentnych, ataki na poziomie portfela dają hakerom bezpośrednią kontrolę nad kluczami prywatnymi — nie są wymagane żadne zatwierdzenia.
W samym 2025 roku hakowanie związane z kryptowalutami już przekroczyło 3,4 miliarda dolarów strat.
Bądź czujny. Sprawdź każdą aktualizację podwójnie.
Nigdy nie udostępniaj swojej frazy seed.