Trust Wallet раскрыл детали взлома на $8,5 млн

[TechnoLab]

Команда Trust Wallet опубликовала отчет об инциденте, произошедшем в 26 декабря. Злоумышленники скомпрометировали браузерное расширение и вывели активы на сумму $8,5 млн.


Согласно заявлению, атака затронула 2520 адресов. Разработчики обязались полностью компенсировать потери пострадавшим.

Как это произошло​

Причиной взлома стала масштабная атака на цепочку поставок Sha1-Hulud, зафиксированная еще в ноябре. Тогда хакеры получили доступ к секретам разработчиков на GitHub и API-ключу магазина Chrome Web Store.


Используя украденные данные, злоумышленники:

1. Загрузили вредоносную версию расширения (2.68) в Chrome Web Store, минуя внутренний контроль Trust Wallet.
2. Зарегистрировали домен metrics-trustwallet.com для сбора конфиденциальных данных (сид-фраз и закрытых ключей).
3. Автоматически распространили обновление среди пользователей после прохождения проверки Google.

Вредоносная версия была активна в период с 24 по 26 декабря. После обнаружения проблемы команда откатила расширение до безопасной версии 2.69 и отозвала скомпрометированные ключи.

Кто попал под удар​

Уязвимость коснулась исключительно пользователей десктопного расширения версии 2.68, которые заходили в кошелек в указанные даты. Мобильное приложение Trust Wallet и другие версии расширения остались в безопасности.


Аналитики выявили 17 адресов, контролируемых хакером. Суммарный ущерб составил $8,5 млн.

«Мы рассматриваем этот инцидент не только как критический урок для нас, но и как переломный момент для всей индустрии в вопросах атак на цепочки поставок», — отметили в Trust Wallet.

Процесс возмещения средств​

Компания уже начала работу с жертвами взлома. Для получения компенсации пользователям необходимо подать заявку через официальную форму поддержки и пройти верификацию владения кошельком.


В Trust Wallet подчеркнули сложность процесса из-за наплыва мошенников. На 2520 пострадавших адресов уже поступило более 5000 заявок. Команда призвала пользователей проявлять терпение и опасаться фишинга: официальная поддержка никогда не запрашивает сид-фразы.


Для предотвращения подобных ситуаций в будущем проект усилил меры безопасности, включая аудит зависимостей кода и ротацию учетных данных.


Напомним, в 2025 году объем похищенных через фишинговые атаки средств сократился на 83%, составив $83,85 млн, согласно SlowMist.