Зловредное обновление расширения Trust Wallet для Chrome привело к краже миллионов долларов у пользователей, вызывая серьезные опасения относительно кошельков на основе браузера.
Что на самом деле произошло
24 декабря Trust Wallet выпустил версию 2.68 своего расширения для Chrome. Не подозревая об этом, пользователи получили обновление, содержащее скрытый зловредный код, замаскированный под рутинную аналитическую функцию.
Когда пользователи открывали свои кошельки или импортировали семенные фразы, зловредный скрипт тихо захватывал конфиденциальные данные и отправлял их на поддельный домен — metrics-trustwallet.com — который был зарегистрирован всего за несколько дней до атаки.
Имея доступ к фразам-семенам, злоумышленники не нуждались в подтверждении транзакций. Они просто восстановили кошельки в другом месте и полностью их опустошили.
Влияние на данный момент
🔹 Украдено более 7 миллионов долларов
🔹 Сотни кошельков скомпрометированы
🔹 Активы были выведены с Bitcoin, Ethereum, Solana и BNB Chain
🔹 Некоторые пользователи потеряли суммы в шесть цифр всего за несколько минут
🔹 Средства прошли через сервисы, такие как ChangeNOW, FixedFloat, KuCoin и HTX
Ответ ЦЗ
Основатель Binance Чжанпэн Чжао (ЦЗ) подтвердил, что все пострадавшие пользователи будут полностью возмещены:
«На данный момент пострадало около 7 миллионов долларов. Trust Wallet покроет убытки. Средства пользователей в безопасности (SAFU).»
ЦЗ также отметил, что команда активно расследует, как был одобрен вредоносный обновление, намекая на то, что внутреннее нарушение или доступ внутреннего пользователя могли сыграть роль.
Что вам следует сделать прямо сейчас
→ Если вы используете расширение Trust Wallet для Chrome, немедленно проверьте свою версию
→ НЕ используйте версию 2.68
→ Обновитесь до версии 2.69 только из официального магазина расширений Chrome
→ Если вы использовали версию 2.68 и вводили свою фразу-семя, немедленно перенесите свои средства в новый кошелек
Заключительные мысли
Этот инцидент подчеркивает уникальные риски кошельков, основанных на браузере. В отличие от эксплуатации смарт-контрактов, атаки на уровень кошелька дают хакерам прямой доступ к приватным ключам — никаких подтверждений не требуется.
Только в 2025 году хакерские атаки в криптоиндустрии уже превысили 3,4 миллиарда долларов убытков.
Будьте начеку. Всегда проверяйте каждое обновление.
Никогда не сообщайте свою фразу-семя.