В Trust Wallet розкрили деталі зламу на $8,5 млн
Команда Trust Wallet опублікувала звіт про інцидент зі зламом 26 грудня, що призвів до втрати активів на суму $8,5 млн.
Згідно із заявою, атака зачепила 2520 адрес. Розробники зобов’язалися повністю відшкодувати збитки постраждалим.
Причиною зламу стала масштабна атака на ланцюг постачання Sha1-Hulud, зафіксована ще в листопаді. Тоді хакери отримали доступ до секретів розробників на GitHub і API-ключа магазину Chrome Web Store.
Використовуючи викрадені дані, зловмисники:
- Завантажили шкідливу версію розширення (2.68) у Chrome Web Store, оминувши внутрішній контроль Trust Wallet.
- Зареєстрували домен metrics-trustwallet.com для збору конфіденційних даних (сид-фраз та закритих ключів).
- Автоматично розповсюдили оновлення серед користувачів після проходження перевірки Google.
Шкідлива версія була активна з 24 до 26 грудня. Після виявлення проблеми команда відкотила розширення до безпечної версії 2.69 та відкликала скомпрометовані ключі.
Хто потрапив під удар
Вразливість торкнулася виключно користувачів десктопного розширення версії 2.68, які заходили в гаманець у зазначені дати. Мобільний застосунок Trust Wallet та інші версії розширення залишилися в безпеці.
Аналітики виявили 17 адрес, що контролюються хакером. Сукупні збитки — $8,5 млн.
«Ми розглядаємо цей інцидент не лише як критичний урок для нас, а й як переломний момент для всієї індустрії у питаннях атак на ланцюги постачання», — зазначили в Trust Wallet.
Процес відшкодування коштів
Компанія вже розпочала роботу з жертвами зламу. Щоб отримати компенсацію, користувачам необхідно подати заявку через офіційну форму підтримки та пройти верифікацію володіння гаманцем.
У Trust Wallet наголосили на складності процесу через наплив шахраїв. На 2520 постраждалих адрес уже надійшло понад 5000 заявок. Команда закликала користувачів проявляти терпіння й остерігатися фішингу: офіційна підтримка ніколи не запитує сид-фрази.
Щоб запобігти подібним інцидентам у майбутньому, проєкт посилив заходи безпеки, зокрема аудит залежностей коду та ротацію облікових даних.
Нагадаємо, у 2025 році обсяг коштів, викрадених через фішингові атаки, скоротився на 83%, склавши $83,85 млн, за даними SlowMist.