Пользователи сообщают о потерях после обновления расширения Trust Wallet

• Расширение Trust Wallet версии 2.68 связано с подозрением на компрометацию цепочки поставок после обновления от 24 декабря.
• Пользователи сообщали о расходе кошелька после импорта семян; убытки, оцениваемые выше 6 миллионов долларов.
• Trust Wallet подтвердил проблему, посоветовал обновиться до версии 2.69; Мобильные приложения не затронуты.

Вопросы безопасности возникли вокруг расширения браузера Trust Wallet после сообщений, связанных с недавним обновлением с возможным несанкционированным доступом и расходами кошелька, что вызвало предупреждения от блокчейн-исследователей и разработчиков, ориентированных на безопасность. Инцидент привлёк внимание к версии 2.68 расширения, которую позже подтвердил Trust Wallet.

Проблема возникла после уведомлений от блокчейн-следователя ZachXBT, который сообщил , что получил сообщения от сотен пользователей, утверждавших, что балансы их кошельков снизились после импорта seed-фраз в расширение браузера.

Согласно техническим обзорам, опубликованным разработчиками, обновление расширения для браузера, выпущенное 24 декабря, могло привести к внедрению вредоносного кода через подозрение в компрометации цепочки поставок.

Исследователи, изучающие обновление, утверждают, что в расширение был встроен недавно добавленный JavaScript-файл и, по-видимому, замаскирован под аналитическую функциональность. Сообщается, что файл активировался только при импорте seed-фразы, после чего передавал чувствительные данные, связанные с кошельком, на внешний домен, спроектированный с официальной инфраструктурой Trust Wallet .

Индикаторы возможного компромисса в цепочке поставок

Внешний домен, упомянутый в отчётах, был зарегистрирован всего за несколько дней до инцидента и позже вышел из сети. Аналитики отметили, что недавнее создание домена в сочетании с временем обновления вызвало опасения, что инцидент может быть результатом скоординированной атаки на цепочку поставок, а не изолированных попыток фишинга или ошибок пользователя.

Он-чейн-анализ, на который ссылаются исследователи сообщества, показал, что скомпрометированные средства проходили через несколько адресов. По их словам, этот паттерн часто ассоциируется с автоматизированными методами эксплуатации. Публичные оценки, опубликованные в интернете, предполагали, что убытки могут превысить $6 миллионов, хотя эти цифры не были независимо подтверждены.

Trust Wallet подтверждает масштаб и исправление проблем

Позже, 25 декабря, Trust Wallet подтвердил, что инцидент с безопасностью ограничился расширением браузера версии 2.68. В заявлении компания рекомендовала пользователям немедленно отключить эту версию и обновиться до версии 2.69, которая, по их словам, содержит исправление. Trust Wallet добавил, что ни одна другая версия расширений браузера и ни одно из его мобильных приложений не были затронуты.

Компания также заявила, что её служба поддержки начала связываться с пострадавшими пользователями и расследует инцидент. Подробностей о технической причине или возможной компенсации не было предоставлено.

Связано: Trust Wallet восстанавливает балансы после сбоя синхронизации данных; Фонды в безопасности