Actualizarea Care a Golit Portofelele

Ce s-a întâmplat exact în incidentul Trust Wallet

Pasul 1: A fost lansată o nouă actualizare a extensiei de browser

O nouă actualizare pentru extensia de browser Trust Wallet a fost lansată pe 24 decembrie.

• Actualizarea părea de rutină.

• Nu a venit cu avertismente majore de securitate.

• Utilizatorii au instalat-o prin procesul obișnuit de actualizare.

În acest moment, nimic nu părea suspect.

Pasul 2: Un nou cod a fost adăugat la extensie

După actualizare, cercetătorii care au examinat fișierele extensiei au observat modificări într-un fișier JavaScript cunoscut sub numele de 4482.js.

Observație cheie:

Acest lucru este important deoarece portofelele de browser sunt medii foarte sensibile; orice nouă logică de ieșire reprezintă un risc ridicat.

Pasul 3: Codul s-a deghizat ca „Analytics"

Logica adăugată a apărut ca un cod de analiză sau telemetrie.

Mai exact:

• Părea o logică de urmărire utilizată de SDK-uri comune de analiză.

• Nu se activa tot timpul.

• Se activa doar în anumite condiții.

Acest design a făcut mai dificilă detectarea în timpul testării ocazionale.

Pasul 4: Condiția de declanșare — Importarea unei fraze seed

Ingineria inversă din comunitate sugerează că logica a fost declanșată atunci când un utilizator a importat o frază seed în extensie.

De ce este critic acest lucru:

• Importarea unei fraze seed oferă portofelului control complet.

• Acesta este un moment unic, de mare valoare.

• Orice cod rău intenționat trebuie să acționeze doar o dată.

Utilizatorii care au folosit doar portofele existente este posibil să nu fi declanșat această cale.

Pasul 5: Datele portofelului au fost trimise extern

Când a apărut condiția de declanșare, codul ar fi trimis date către un punct final extern:

metrics-trustwallet[.]com

Ce a stârnit alarme:

• Domeniul semăna foarte mult cu un subdomeniu legitim Trust Wallet.

• A fost înregistrat cu doar câteva zile înainte.

• Nu a fost documentat public.

• Mai târziu a fost scos offline.

Cel puțin, aceasta confirmă comunicarea neașteptată de ieșire din extensia portofelului.

Pasul 6: Atacatorii au acționat imediat

La scurt timp după importul frazelor seed, utilizatorii au raportat:

• Portofele golite în câteva minute.

• Multiple active mutate rapid.

• Nu a fost necesară nicio interacțiune suplimentară a utilizatorului.

Comportamentul on-chain a arătat:

• Modele de tranzacții automate.

• Multiple adrese de destinație.

• Niciun flux evident de aprobare de phishing.

Acest lucru sugerează că atacatorii aveau deja suficient acces pentru a semna tranzacții.

Pasul 7: Fondurile au fost consolidate pe mai multe adrese

Activele furate au fost direcționate prin mai multe portofele controlate de atacatori.

De ce contează acest lucru:

• Sugerează coordonare sau scriptare.

• Reduce dependența de o singură adresă.

• Corespunde comportamentului observat în exploatări organizate.

Estimările bazate pe adresele urmărite sugerează că au fost mutați milioane de dolari, deși totalurile variază.

Pasul 8: Domeniul a dispărut

După ce atenția a crescut:

• Domeniul suspect a încetat să mai răspundă.

• Nicio explicație publică nu a urmat imediat.

• Capturi de ecran și dovezi cache au devenit cruciale.

Acest lucru este consistent cu atacatorii care distrug infrastructura odată ce sunt expuși.

Pasul 9: Recunoașterea oficială a venit mai târziu

Trust Wallet a confirmat ulterior:

• Un incident de securitate a afectat o versiune specifică a extensiei de browser.

• Utilizatorii de dispozitive mobile nu au fost afectați.

• Utilizatorii ar trebui să actualizeze sau să dezactiveze extensia.

Cu toate acestea, nu a fost oferită imediat o defalcare tehnică completă pentru a explica:

• De ce exista domeniul.

• Dacă frazele seed au fost expuse.

• Dacă a fost o problemă internă, de la terți sau externă.

Acest decalaj a alimentat speculațiile continue.

Ce este confirmat

• O actualizare a extensiei de browser a introdus un nou comportament de ieșire.

• Utilizatorii au pierdut fonduri la scurt timp după importarea frazelor seed.

• Incidentul a fost limitat la o versiune specifică.

• Trust Wallet a recunoscut o problemă de securitate.

Ce este puternic suspect

• O problemă a lanțului de aprovizionare sau injectarea de cod rău intenționat.

• Frazele seed sau capacitatea de semnare fiind expuse.

• Logica de analiză fiind utilizată greșit sau transformată în armă.

Ce este încă necunoscut

• Dacă codul a fost intenționat rău intenționat sau compromis upstream.

• Câți utilizatori au fost afectați.

• Dacă au fost preluate alte date.

• Atribuirea exactă a atacatorilor.

De ce contează acest incident

Acesta nu a fost un phishing tipic.

Evidențiază:

• Pericolul extensiilor de browser.

• Riscul de a avea încredere oarbă în actualizări.

• Cum poate fi utilizat greșit codul de analiză.

• De ce gestionarea frazelor seed este cel mai critic moment în securitatea portofelului.

Chiar și o vulnerabilitate de scurtă durată poate avea consecințe grave.