Trust Wallet 漏洞提前數週策劃，用戶將獲全額補償

攻擊者並非利用突發的漏洞,而是耐心地將自己定位在錢包的瀏覽器擴充功能工作流程中。這起事件最終導致約700萬美元的損失,影響了數百名安裝了特定版本擴充功能的桌面用戶。

更新成為入侵點

這起事件集中在 Trust Wallet 的 Chrome 瀏覽器擴充功能版本2.68。運行該版本的用戶在不知情的情況下與受損代碼進行互動,而行動錢包則未受影響。Trust Wallet 隨後敦促用戶在偵測到可疑活動後立即升級到較新版本。

使這個案例不尋常的是時機。儘管資金在聖誕節當天被盜取,但區塊鏈安全研究人員表示,該漏洞攻擊早在更早之前就已準備好,這表明攻擊者等待足夠的用戶暴露後才觸發盜竊。

後門而非暴力破解

根據 SlowMist 分享的調查結果,嵌入擴充功能中的惡意代碼不僅能夠執行未經授權的轉帳。它還收集用戶數據並悄悄地將其發送到攻擊者控制的外部伺服器。

SlowMist 聯合創始人余弦描述了一個多步驟操作:12月初期準備,聖誕節前幾天植入後門,以及在環境準備就緒後執行。這種程度的排序表明對擴充功能架構有深入的了解。

數百個錢包,一次協調的盜取

區塊鏈調查員 ZachXBT 識別出數百個受影響的錢包,資金快速轉移且模式相似。交易之間的一致性加強了這樣的觀點:這不是用戶錯誤或釣魚,而是大規模執行的協調攻擊。

儘管700萬美元的損失與一些歷史性的加密貨幣駭客事件相比較小,但它之所以突出,是因為它針對的是個人錢包而非交易所,這是一個持續增長的攻擊面類別。

Binance 承諾賠償

Trust Wallet 由 Binance 擁有,趙長鵬確認受影響的用戶將獲得全額賠償。趙長鵬承認事件的嚴重性,並表示將承擔損失,限制了對受害者的直接財務影響。

然而,這項保證並未能平息人們對受損擴充功能如何首先接觸到用戶的擔憂。

內部訪問受到審查

多位業界人士對這次攻擊的性質提出警報。攻擊者能夠推送修改版本的擴充功能,以及他們對代碼庫的深入熟悉,導致一些人懷疑有內部人員參與。

區塊鏈顧問 Anndy Lian 公開質疑這樣的攻擊是否可能在沒有內部知識的情況下發生。趙長鵬本人也呼應了這一觀點,公開表示這次入侵「最有可能」是內部人員所為。

對錢包用戶的更廣泛警告

Trust Wallet 事件發生在加密貨幣安全威脅更廣泛轉變的背景下。根據 Chainalysis 的數據,一旦排除異常大規模的 Bybit 駭客事件,個人錢包被入侵在2025年占加密貨幣損失的三分之一以上。

隨著交易所加強防禦,攻擊者越來越多地針對瀏覽器擴充功能和個人錢包,在那裡更新機制和用戶信任可以更容易地被利用。

超越700萬美元的損失

雖然賠償可能結束財務篇章,但這起事件留下了更大的未解問題。受損代碼是如何部署的?誰有權訪問擴充功能管道?其他錢包提供商中存在多少類似的風險?

目前,Trust Wallet 漏洞攻擊提醒人們,在加密貨幣領域,最危險的漏洞可能不在區塊鏈本身,而在用戶依賴以訪問它的軟體層中。

本文提供的資訊僅供教育目的,不構成財務、投資或交易建議。Coindoo.com 不支持或推薦任何特定的投資策略或加密貨幣。在做出任何投資決策之前,請務必進行自己的研究並諮詢持牌財務顧問。

文章 Trust Wallet 漏洞攻擊提前數週規劃,用戶將獲得全額賠償 最先出現在 Coindoo。