Ang $7M Trust Wallet Extension Hack: Lahat ng Kailangan Mong Malaman

Tiwala sa Wallet mapag- na ang isang malisyosong pag-update sa opisyal nitong Chrome browser extension ay humantong sa pagnanakaw ng humigit-kumulang $7 milyon na pondo ng mga gumagamit. Ang paglabag ay nakaapekto lamang sa isang bersyon ng extension, ang bersyon 2.68, at kinasangkutan ng mga umaatake na nagnanakaw ng mga parirala ng wallet seed sa pamamagitan ng naka-embed na malisyosong code. Ayon sa mga ulat, ang mga gumagamit ng mobile at iba pang mga bersyon ng browser ay hindi naapektuhan.

Ano ang Nangyari sa Trust Wallet Extension Hack?

Nagsimula ang insidente noong Disyembre 24, 2025, nang ilabas ng Trust Wallet ang bersyon 2.68.0 ng extension nito sa Chrome. Noong una, iniulat ng mga gumagamit ang kalat-kalat na pagkalugi. Naubos ang mga wallet ilang sandali matapos ma-access o ma-import sa pamamagitan ng extension. Ang mga tila nakahiwalay na kaso ay mabilis na nagpapahiwatig ng mas malawak na problema.

Noong Araw ng Pasko, ang imbestigador ng on-chain na si ZachXBT Nagbigay isang babala sa publiko habang ang mga ninakaw na pondo ay patuloy pa ring gumagalaw sa chain. Direktang iniugnay niya ang mga pag-agos ng wallet sa v2.68 update. Ang kanyang pagsusuri ay nakatulong upang matukoy na hindi ito error ng user o phishing, kundi isang nakompromisong browser extension.

Pagsapit ng Disyembre 26, kinumpirma ng Trust Wallet ang paglabag. Sinabi ng kumpanya na bersyon 2.68 lamang ang naapektuhan at hinimok ang mga user na agad na mag-upgrade sa bersyon 2.69. Ang extension ng Chrome ay may humigit-kumulang isang milyong user, ayon sa listahan ng Chrome Web Store.

Kalaunan ay kinumpirma ng Trust Wallet na humigit-kumulang $7 milyon na mga digital asset ang ninakaw sa maraming blockchain.

Aling mga gumagamit ang naapektuhan?

Tanging mga user na nag-install o nag-log in sa Chrome extension ng Trust Wallet na bersyon 2.68 bago ang Disyembre 26 nang 11:00 AM UTC ang nasa panganib.

Ayon sa Trust Wallet at mga mananaliksik sa seguridad:

• Hindi naapektuhan ang mga gumagamit ng mobile app
• Hindi naapektuhan ang ibang bersyon ng extension ng browser
• Ang mga wallet na na-access sa pamamagitan ng bersyon 2.68 ay maaaring ganap na makompromiso

Sa maraming pagkakataon, nababawasan ang laman ng mga wallet sa loob ng ilang minuto matapos ma-unlock ang extension o ma-import ang isang seed phrase. Daan-daang wallet ang naapektuhan, kabilang ang mga address ng Bitcoin, Ethereum, at Solana.

Kinumpirma ni Eowyn Chen, CEO ng Trust Wallet, na dapat ipagpalagay ng mga user na nag-log in sa panahon ng apektadong window na na-expose ang kanilang mga wallet at gumawa ng mga bago.

Paano Gumagana ang Malicious Code?

Ayon sa blockchain security firm SlowMist, ang pag-atake ay hindi sanhi ng isang malisyosong third-party library. Sa halip. Direktang binago ng attacker ang sariling extension code ng Trust Wallet. Ang malisyosong lohika ay naka-embed sa analytics component ng extension.

Tuklasin ang Mga Promising Project...

Mga Promising Project...

(Advertisement)

Nagpapatuloy ang artikulo...

Narito kung paano ito gumana:

• Ang code ay paulit-ulit na ipinasa sa lahat ng wallet na nakaimbak sa extension
• Nagdulot ito ng kahilingan para sa mnemonic phrase para sa bawat wallet.
• Nang ma-unlock ng mga user ang wallet, na-decrypt ang naka-encrypt na seed phrase.
• Ang na-decrypt na mnemonic ay ipinadala sa isang server na kontrolado ng attacker

Ang datos ay na-exfiltrate papunta sa api.metrics-trustwallet[.]com. Ang domain ay nakarehistro noong Disyembre 8, 2025. Ang mga kahilingan sa server ay nagsimula noong Disyembre 21, ilang araw bago mailathala ang malisyosong update.

Gumamit ang attacker ng isang lehitimong open-source analytics library na tinatawag na posthog-js bilang pantakip. Sa halip na magpadala ng data sa tamang analytics endpoint, na-redirect ang trapiko sa server ng attacker.

Sinabi ng SlowMist na ito ay isang panloob na kompromiso sa codebase, hindi isang nalason na dependency.

Paano Nalathala ang Nakompromisong Ekstensyon?

Nakakita ang panloob na imbestigasyon ng Trust Wallet ng isang kritikal na pagkabigo sa proseso ng paglabas nito. Ayon sa CEO na si Eowyn Chen, isang leaked na Chrome Web Store API key ang ginamit upang i-publish ang malisyosong bersyon.

Ang nakompromisong extension ay na-upload noong Disyembre 24 nang 12:32 PM UTC. Nilampasan nito ang mga normal na internal na pagsusuri ng Trust Wallet.

Ipinapakita nito na hindi direktang sinamantala ng attacker ang mga gumagamit. Sa halip, sinamantala nila ang imprastraktura ng distribusyon. Ang mga pag-atake sa supply-chain na tulad nito ay mas mahirap matukoy dahil ang software ay tila opisyal at mapagkakatiwalaan.

Magkano ang Ninakaw at Saan Napunta ang mga Pondo?

Tinatantya ng Trust Wallet at ng mga independiyenteng mananaliksik ang kabuuang pagkalugi sa humigit-kumulang $7 milyon.

Ang pagsusuri ng mga kilalang ninakaw na ari-arian ay kinabibilangan ng:

• Humigit-kumulang $3 milyon sa Bitcoin
• Higit sa $3 milyon sa Ethereum
• Mas maliliit na halaga sa Solana at iba pang mga ari-arian

Ayon sa PeckShield at ZachXBT, ang mga ninakaw na pondo ay mabilis na nalabhan.

Kabilang sa mga pangunahing paggalaw ang:

• Humigit-kumulang $3.3 milyon ang ipinadala sa ChangeNOW
• Humigit-kumulang $340,000 ang ipinadala sa FixedFloat
• Humigit-kumulang $447,000 ang ipinadala sa KuCoin

Mahigit $4 milyon ang dumaan sa mga sentralisadong palitan. Sa huling pag-update, humigit-kumulang $2.8 milyon ang nanatili sa mga wallet na kontrolado ng umaatake.

Ang pattern na ito ay sumasalamin sa iba pang mga kaso ng pag-atake sa wallet, kung saan ang mga umaatake ay gumagamit ng mga instant swap service at bridge upang mabawasan ang traceability.

Plano ng Tugon at Kompensasyon ng Trust Wallet

Naglunsad ang Trust Wallet ng mabilisang solusyon. Inilabas ang Bersyon 2.69 noong Disyembre 25 upang alisin ang malisyosong code. Hinimok ang mga gumagamit na agad na i-disable ang bersyon 2.68.

Naglunsad din ang kompanya ng pormal na programa sa kompensasyon.

Maaaring magsumite ng mga reklamo ang mga apektadong gumagamit sa pamamagitan ng isang opisyal na form ng suporta sa website ng Trust WalletAng proseso ay nangangailangan ng:

• email address
• Bansa ng paninirahan
• Mga nakompromisong address ng wallet
• Mga address na tinatanggap ng attacker
• Mga kaugnay na hash ng transaksyon

Nakasaad sa Trust Wallet na ang bawat claim ay isa-isang beripikahin.

"Walang tigil kaming nagtatrabaho upang tapusin ang mga detalye ng proseso ng kabayaran at ang bawat kaso ay nangangailangan ng maingat na beripikasyon upang matiyak ang katumpakan at seguridad," sabi ng kumpanya.

Kinumpirma ni Changpeng Zhao, co-founder at dating CEO ng Binance, na bumili sa Trust Wallet noong 2018, na ang mga pagkalugi ay sasagutin.

Bakit Mahalaga ang Hack na Ito para sa Seguridad ng Wallet

Itinatampok ng insidenteng ito ang isang paulit-ulit na panganib sa crypto. Kahit ang mga non-custodial wallet ay nakasalalay sa mga channel ng pamamahagi ng software. Kapag nabigo ang mga channel na iyon, maaaring mawala ang lahat sa mga gumagamit.

Ang Trust Wallet hack ay sumusunod sa mas malawak na padron na nakikita sa buong industriya. Mas maaga sa taong ito, isiniwalat ng Coinbase na magbabayad ito ng mahigit $400 milyon matapos ang isang hiwalay na paglabag na nauugnay sa mga nasuhulan na kawani ng suporta sa India.

Iba't ibang paraan ng pag-atake, parehong resulta. Ang mga pagpapalagay ng tiwala ay halos masira.

Para sa mga gumagamit, pinatitibay nito ang mga pangunahing tuntunin sa seguridad:

• Ituring ang mga extension ng browser bilang mga software na may mataas na peligro
• Mag-update agad kapag may mga naayos na
• Ilipat ang mga pondo kung ang isang wallet ay maaaring makompromiso
• Huwag kailanman gamitin muli ang mga nakalantad na pariralang binhi

Para sa mga tagapagbigay ng wallet, ang aral ay tungkol sa seguridad ng paglulunsad. Ang mga API key, build pipeline, at store credentials ay mga pangunahing target na ngayon ng pag-atake.

Konklusyon

Ang $7 milyong Trust Wallet extension hack ay resulta ng isang kompromiso sa supply-chain, hindi ng pagkakamali ng user. Ang malisyosong code na naka-embed sa bersyon 2.68 ng Chrome extension ay nag-ani ng mga seed phrase at nag-drain ng mga wallet sa maraming blockchain. 

Tumugon ang rust Wallet sa pamamagitan ng pag-alis ng apektadong bersyon, paglabas ng isang pag-aayos, at pangakong ibabalik ang bayad. Binibigyang-diin ng insidente kung paano nananatiling kritikal na pag-atake sa crypto ang mga extension ng browser at kung bakit dapat seryosohin ng mga user at developer ang seguridad ng distribusyon gaya ng pamamahala ng pribadong key.

Mga mapagkukunan

1. Pagkatiwalaan ang Wallet sa X: Anunsyo noong Disyembre 26

2. Mabagal na post sa XUlat tungkol sa pagsasamantala sa Trust Wallet

3. Post ng PeckShield sa X: Sa paggamit ng Trust Wallet