Kluczowe wnioski:
- Trust Wallet potwierdził incydent bezpieczeństwa dotyczący wyłącznie wersji 2.68 rozszerzenia przeglądarkowego, co spowodowało pilne wyłączenie i aktualizację.
- Zgłoszenia od analityków on-chain łączą lukę z ponad 6 milionami dolarów w skradzionej kryptowaluciena łańcuchach EVM, Solana oraz Bitcoin.
- Użytkownicy mobilni i inne wersje rozszerzenia pozostają nietknięte, jednak sprawa rodzi szersze obawy dotyczące bezpieczeństwa portfeli oraz ryzyka w łańcuchu dostaw w krypto.
Trust Wallet wydał pilne ostrzeżenie po wykryciu incydentu bezpieczeństwa związanego z konkretną wersją swojego rozszerzenia przeglądarkowego. Problem spowodował utratę środków przez niektórych użytkowników komputerów stacjonarnych i zmusił firmę do natychmiastowego wdrożenia poprawki.
Czytaj więcej:
Zidentyfikowaliśmy incydent bezpieczeństwa dotyczący wyłącznie wersji 2.68 rozszerzenia Trust Wallet do przeglądarki. Użytkownicy tej wersji powinni ją wyłączyć i zaktualizować do 2.69.
Proszę skorzystać z oficjalnego linku do Chrome Webstore tutaj:
Uwaga: użytkownicy wyłącznie mobilni…
— Trust Wallet (@TrustWallet) 25 grudnia 2025
Spis treści
Trust Wallet potwierdza incydent bezpieczeństwa w rozszerzeniu przeglądarkowym
Trust Wallet ujawnił, że zidentyfikował incydent bezpieczeństwa dotyczący wyłącznie Trust Wallet Browser Extension w wersji 2.68. Firma wezwała wszystkich użytkowników tej wersji do natychmiastowego zaprzestania jej używania i aktualizacji do wersji 2.69, która jest już dostępna w oficjalnym Chrome Web Store.
Według Trust Wallet, incydent
- wyłącznie użytkowników mobilnych
- użytkowników desktopowych korzystających z innych wersji rozszerzenia niż 2.68
Zespół podkreślił, że główna infrastruktura portfela pozostaje nienaruszona, a problem dotyczy wyłącznie jednej wersji rozszerzenia na komputery stacjonarne.
Trust Wallet instruuje również użytkowników, którzy jeszcze nie zaktualizowali rozszerzenia, by całkowicie unikali jego otwierania do czasu zainstalowania wersji 2.69. Zespół wsparcia już nawiązuje kontakt z poszkodowanymi użytkownikami, by przedstawić kolejne kroki.
Zgłoszenia o skradzionych środkach wywołują alarm w społeczności
Sprawa ujrzała światło dzienne, gdy społeczność kryptowalutowa zaczęła się jej bliżej przyglądać po tym, jak niezależny badacz on-chain ZachXBT opublikował serię historii o utracie środków, gdzie użytkownicy korzystający z rozszerzenia Trust Wallet do Chrome stracili pieniądze wkrótce po interakcji z aplikacją.
Niektórzy poszkodowani użytkownicy zgłaszali, że aktywa zostały opróżnione natychmiast po autoryzacji transakcji w rozszerzeniu. Wstępne szacunki przekazane badaczom blockchain wskazują, że suma strat może sięgnąć nawet 6 milionów dolarów, a liczba dotkniętych portfeli może wynosić setki.
Część skradzionych środków została przetransferowana przez:
- Ethereum i inne łańcuchy kompatybilne z EVM
- Solana
- Bitcoin
Chociaż Trust Wallet nie ustalił jeszcze całkowitej kwoty strat, to jednak czas kradzieży - natychmiast po publikacji wersji 2.68 - wzbudził poważne podejrzenia dotyczące procesu aktualizacji.
Jak mogła zostać wykorzystana luka
Możliwe słabości w łańcuchu dostaw
Mimo że Trust Wallet nie opublikował pełnej dokumentacji technicznej, wielu ekspertów ds. bezpieczeństwa uważa, że pojawiła się luka w łańcuchu dostaw dodana w wyniku operacji aktualizacji rozszerzenia. Złośliwy kod mógł zostać wprowadzony lub wstrzyknięty na etapie budowania lub dystrybucji, a w takim przypadku atakujący mogą przechwytywać wrażliwe operacje portfela, takie jak podpisywanie transakcji czy autoryzacja sesji.
Teoria ta jest zgodna ze zgłoszeniami użytkowników o anonimowych transferach środków na nieznane adresy tuż po autoryzacji portfela bez innych incydentów. Trust Wallet potwierdził również, że trwa dochodzenie i po jego zakończeniu opublikuje więcej wyników.
Czytaj więcej:
Oficjalna odpowiedź i obowiązkowe kroki aktualizacyjne
Trust Wallet przedstawił zwięzłą listę wytycznych, aby zapewnić bezpieczeństwo użytkowników i uniknąć dalszych strat. Firma podkreśliła, że przed ponownym otwarciem rozszerzenia należy wykonać te kroki.
Kluczowe działania obejmują:
- Wyłączenie rozszerzenia Trust Wallet w Chrome
- Włączenie trybu deweloperskiego
- Wymuszenie ręcznej aktualizacji do wersji 2.69
- Sprawdzenie zainstalowanego numeru wersji przed użyciem
Firma ponownie podkreśliła, że użytkownicy nie powinni pobierać aktualizacji z innych stron lub linków, a wyłącznie z oficjalnego Chrome Web Store, który jest oficjalnym sklepem firmy.
Co ten incydent ujawnia na temat bezpieczeństwa portfeli
Przypadek Trust Wallet wskazuje na systemowe zagrożenie w krypto: nawet portfele niepowiernicze mogą paść ofiarą ataku, jeśli ich kanały dystrybucji zostaną naruszone.
Rozszerzenia przeglądarkowe są szczególnie atrakcyjnym celem, ponieważ:
- Interakcja bezpośrednio z kluczami prywatnymi i żądaniami podpisu
- Działają w środowiskach narażonych na phishing i złośliwe skrypty
- Wymagają częstych aktualizacji, co zwiększa powierzchnię ataku
W przeciwieństwie do exploitów smart kontraktów, ataki na poziomie portfela często nie korzystają z zabezpieczeń on-chain, a utracone środki nie mogą być cofnięte ani wyśledzone.
Jest to jeden z większych incydentów związanych z bezpieczeństwem portfeli w ostatnich latach, jako że Trust Wallet posiada ponad 220 milionów użytkowników na całym świecie. Mimo że zakres może wydawać się ograniczony do jednej wersji, skutki dla reputacji mogą być znacznie szersze.
