Người dùng Trust Wallet được cảnh báo nên tránh sử dụng tiện ích mở rộng sau khi sự cố bảo mật dẫn đến thiệt hại hơn 6 triệu đô la.

Một bản cập nhật trình duyệt thông thường đã biến thành cơn ác mộng đối với một bộ phận cộng đồng tiền điện tử, khi người dùng thức dậy và phát hiện ví của họ bị rút sạch tiền một cách lặng lẽ.

Những gì bắt đầu như những lời phàn nàn rải rác nhanh chóng leo thang thành một cuộc điều tra an ninh nghiêm trọng, buộc Trust Wallet phải đưa ra cảnh báo khẩn cấp và làm dấy lên những lo ngại mới về sự an toàn của ví dựa trên trình duyệt.

Trust Wallet xác nhận sự cố bảo mật tiện ích mở rộng

Trust Wallet đã xác nhận vào sáng thứ Sáu rằng một sự cố bảo mật đã ảnh hưởng đến phiên bản 2.68 của tiện ích mở rộng trình duyệt Chrome của họ.

Công ty kêu gọi người dùng tắt tiện ích mở rộng ngay lập tức và nâng cấp lên phiên bản mới nhất, nhấn mạnh rằng sự cố chỉ giới hạn ở bản phát hành cụ thể này.

Trust Wallet cho biết ứng dụng di động và các phiên bản tiện ích mở rộng trình duyệt khác của họ không bị ảnh hưởng.

Một cuộc điều tra đang được tiến hành và nhóm cho biết sẽ chia sẻ thông tin cập nhật khi có thêm thông tin.

Báo cáo ngày Giáng sinh gây báo động trong cộng đồng tiền điện tử

Các báo cáo về việc rút tiền trái phép từ ví bắt đầu lan truyền vào ngày Giáng sinh, khiến nhiều người dùng bất ngờ trong kỳ nghỉ lễ.

Vấn đề này lần đầu tiên được nhà điều tra chuỗi khối ZachXBT công khai, người cho biết ông đã nhận được nhiều báo cáo độc lập từ người dùng Trust Wallet cho rằng tiền của họ đã bị rút mà không được chấp thuận.

Trong vòng vài giờ, cảnh báo đã lan rộng khắp Telegram và X, gây ra mối lo ngại rộng rãi trong số người dùng ví tự quản lý và các nhà nghiên cứu bảo mật.

Hàng triệu đô la bị mất khi cuộc điều tra mở rộng trên nhiều chuỗi khối

Theo ZachXBT, các sự cố được báo cáo không chỉ giới hạn ở một chuỗi khối duy nhất.

Các ví bị ảnh hưởng được liên kết với các mạng tương thích EVM, Bitcoin và Solana, cho thấy một vấn đề rộng hơn chứ không phải là một lỗ hổng hợp đồng thông minh riêng lẻ.

ZachXBT đã chia sẻ các địa chỉ ví được cho là có liên quan đến các vụ trộm và sau đó cho biết hàng trăm người dùng có thể đã bị ảnh hưởng.

Dựa trên việc theo dõi trên chuỗi ban đầu, thiệt hại ước tính vượt quá 6 triệu đô la, mặc dù Con số này vẫn chỉ là tạm thời khi có thêm báo cáo được đánh giá.

Những gì các nhà nghiên cứu tìm thấy bên trong mã nguồn mở rộng

Một chi tiết quan trọng nhanh chóng thu hút sự chú ý.

Các báo cáo được đưa ra ngay sau bản cập nhật cho tiện ích mở rộng Trust Wallet Chrome được phát hành vào ngày 24 tháng 12.

Khi mối lo ngại gia tăng, các nhà nghiên cứu bảo mật độc lập và các thành viên cộng đồng bắt đầu xem xét tiện ích mở rộng đã được cập nhật.

Trên X, một nhà phân tích bảo mật với tên người dùng 0xakinator đã chia sẻ các phân tích chỉ ra một tệp JavaScript, được xác định là 4482.js, dường như có liên quan đến Chứa mã mới được thêm vào mà không được giải thích rõ ràng trong ghi chú phát hành.

Ông ta cáo buộc mã này hoạt động giống như chức năng phân tích, có khả năng giám sát hoạt động ví và dường như được kích hoạt khi người dùng nhập cụm từ hạt giống vào tiện ích mở rộng.

Ông ta tuyên bố dữ liệu đã được truyền đến một miền được xác định là metrics-trustwallet[.]com.

Ngoài ra, tên miền này chỉ mới được đăng ký vài ngày trước đó và sau đó trở nên không thể truy cập được.

Những phát hiện này đã dẫn đến suy đoán về khả năng bị xâm phạm theo kiểu chuỗi cung ứng.

Tuy nhiên, các kết luận này dựa trên phân tích của bên thứ ba và chưa được xác nhận bởi một cuộc kiểm toán chính thức vào thời điểm đó.

Nhập cụm từ hạt giống liên quan đến việc rút tiền nhanh chóng khỏi ví

Một số người dùng bị ảnh hưởng cho biết tiền của họ đã bị rút gần như ngay lập tức sau khi nhập một cụm từ hạt giống cụm từ vào tiện ích mở rộng trình duyệt Trust Wallet.

Một bài đăng được chia sẻ rộng rãi trên X cho biết đã mất 700.000 đô la.

Mặc dù các tuyên bố riêng lẻ không thể được xác minh độc lập, nhưng tính nhất quán của các báo cáo và tốc độ chuyển tiền được quan sát trên chuỗi đã làm dấy lên lo ngại rằng việc nhập cụm từ hạt giống vào phiên bản tiện ích mở rộng bị ảnh hưởng có thể đã khiến người dùng gặp rủi ro ngay lập tức.

Phản hồi của Trust Wallet và Tác động Cụ thể theo Phiên bản

Sau nhiều báo cáo, Trust Wallet đã thừa nhận sự cố và làm rõ phạm vi của nó.

Công ty cho biết vấn đề chỉ giới hạn ở phiên bản Tiện ích mở rộng Trình duyệt Trust Wallet.

2.68.

Người dùng được yêu cầu tắt tiện ích mở rộng và nâng cấp lên phiên bản 2.69, phiên bản được phát hành để sửa lỗi.

Trust Wallet nhắc lại rằng người dùng chỉ sử dụng thiết bị di động không bị ảnh hưởng và khuyên người dùng chỉ nên tải xuống bản cập nhật thông qua trang chính thức của Chrome Web Store.

Lời khuyên về bảo mật được lan truyền khi cuộc điều tra tiếp tục

Khi sự việc dần được làm rõ, người dùng được khuyến cáo xem xét lại các giao dịch gần đây, thu hồi các quyền không cần thiết và tránh ký các giao dịch mới cho đến khi tình hình được hiểu rõ hoàn toàn.

Các nhà nghiên cứu bảo mật cũng cảnh báo không nên nhập cụm từ hạt giống vào tiện ích mở rộng trình duyệt trừ khi thực sự cần thiết và khuyên nên chuyển số tiền còn lại sang ví mới được tạo trên các thiết bị an toàn.

Trust Wallet vẫn đang tiếp tục xem xét nội bộ nguyên nhân gây ra sự cố.

Họ đã khuyên người dùng bị ảnh hưởng liên hệ với nhóm hỗ trợ của họ.