
Содержание
Из-за нового официального расширения для браузера Chrome произошел взлом Trust Wallet. Это привело к краже около $7 млн пользовательских средств. Взлом затронул только одну версию расширения, версию 2.68. Он заключался в краже сид-фраз кошельков с помощью встроенного вредоносного кода. Согласно сообщениям, пользователи мобильных устройств и других версий браузеров не пострадали.
Как произошел взлом Trust Wallet?
Инцидент начался 24 декабря 2025 года, когда Trust Wallet выпустил версию 2.68.0 своего расширения для Chrome. Сначала пользователи сообщали о единичных случаях потери средств. Кошельки опустошались вскоре после доступа к ним или импорта через расширение. То, что выглядело как единичные случаи, быстро указало на более масштабную проблему.
В Рождество исследователь блокчейна ZachXBT опубликовал публичное предупреждение, пока украденные средства еще перемещались по сети. Он связал утечку средств из кошельков напрямую с обновлением v2.68. Его анализ помог установить, что это была не ошибка пользователя или фишинг, а скомпрометированное расширение для браузера.
Trust Wallet подтвердил утечку данных. Компания заявила, что затронута только версия 2.68, и призвала пользователей немедленно обновиться до версии 2.69. Согласно информации в Chrome Web Store, расширение для Chrome насчитывает около миллиона пользователей.
Позже Trust Wallet подтвердил, что украли около $7 млн цифровых активов в нескольких блокчейнах.
Какие пользователи пострадали?
Риску подвергались только пользователи, которые установили или вошли в расширение Trust Wallet для Chrome версии 2.68 до 26 декабря, 11:00 UTC.
Согласно данным Trust Wallet и исследователей в области безопасности:
- Пользователей мобильного приложения это не коснулось.
- Другие версии расширений для браузеров не были затронуты.
Доступ к кошелькам, полученный через версию 2.68, может быть полностью скомпрометирован.
Во многих случаях кошельки опустошались в течение нескольких минут после разблокировки расширения или импорта сид-фразы. Пострадали сотни кошельков, включая адреса Bitcoin, Ethereum и Solana.
Как работал вредоносный код?
По данным компании SlowMist, специализирующейся на безопасности блокчейна, атака произошла через вредоносную библиотеку стороннего разработчика. Вместо этого злоумышленник напрямую модифицировал собственный код расширения Trust Wallet. Вредоносную логику внедрили в аналитический компонент расширения.
Вот как это работало:
- Код перебирал все кошельки, хранящиеся в расширении.
- Это инициировало запрос мнемонической фразы для каждого кошелька.
- Когда пользователи разблокировали кошелек, зашифрованная сид-фраза раскрылась.
- Расшифрованная мнемоническая фраза была отправлена на сервер, контролируемый злоумышленником.
- Данные были украдены на api.metrics-trustwallet[.]com. Домен зарегистрировали 8 декабря 2025 года. Запросы к серверу начались 21 декабря, за несколько дней до публикации вредоносного обновления.
Злоумышленник использовал легитимную библиотеку аналитики с открытым исходным кодом под названием posthog-js в качестве прикрытия. Вместо отправки данных на правильную точку доступа аналитики, трафик перенаправлялся на сервер злоумышленника.
Компания SlowMist заявила, что это был внутренний компромисс в кодовой базе, а не отравленная зависимость.





