Czy pamiętasz ostatni raz, kiedy pobrałeś aktualizację, nie zwracając na to uwagi? Dla użytkowników Trust Wallet noc Bożego Narodzenia 2025 roku pozostanie w pamięci z tego powodu. Co się naprawdę stało i jak zwykła aktualizacja mogła doprowadzić do kradzieży milionów dolarów w kryptowalutach?
3 informacje, których nie można przegapić
- Złośliwa aktualizacja pozwoliła ukraść ponad 8 milionów dolarów z 2 520 portfeli Trust Wallet.
- Atak wykorzystał lukę w łańcuchu dostaw firmy, znaną jako Sha1-Hulud.
- Trust Wallet uruchomił proces zwrotu pieniędzy dla poszkodowanych użytkowników.
Cyberatak w Boże Narodzenie
Wieczór 24 grudnia 2025 roku oznaczał początek burzliwego okresu dla użytkowników Trust Wallet. Pozornie nieszkodliwa aktualizacja, wersja 2.68.0, została pobrana przez tysiące użytkowników. Jednak zawierała ona złośliwy kod, który doprowadził do wycieku wrażliwych danych na zewnętrzny serwer. Ten atak pozwolił na wyprowadzenie ponad 8 milionów dolarów z 2 520 portfeli.
Technika ataku i wykorzystanie
Hakerzy osiągnęli ten sukces, przeprowadzając atak na łańcuch dostaw, nazwany Sha1-Hulud, który rozpoczął się w listopadzie 2025 roku. Używając skompromitowanych pakietów npm, uzyskali dostęp do kodu źródłowego rozszerzenia przeglądarki Trust Wallet i jego klucza API w Chrome Web Store. Dzięki tym informacjom mogli bezpośrednio opublikować zmodyfikowaną wersję rozszerzenia w sklepie, omijając zwykłe procesy weryfikacji.
Reakcje i środki bezpieczeństwa
W obliczu tej krytycznej sytuacji Trust Wallet zareagował szybko. Już 25 grudnia firma opublikowała bezpieczną aktualizację o numerze 2.69.0 i zaapelowała do użytkowników o jej pilne zainstalowanie. Jednocześnie zmobilizowano zespół badaczy white hat, aby zneutralizować złośliwy serwer. Przeprowadzono ataki DDoS na domenę metrics-trustwallet.com, aby ograniczyć skutki ataku.
Proces zwrotu pieniędzy i wnioski
Aby zrekompensować straty, Trust Wallet wprowadził proces zwrotu pieniędzy dla poszkodowanych użytkowników. To zadanie jest skomplikowane, ponieważ wymaga precyzyjnego zidentyfikowania każdej ofiary i utraconej kwoty, jednocześnie filtrując fałszywe roszczenia. Ta sprawa podkreśla znaczenie bezpieczeństwa łańcuchów dostaw w rozwoju oprogramowania oraz konieczność zwiększonej czujności podczas publikowania aktualizacji.
Kontekst Trust Wallet
Trust Wallet to renomowana firma w dziedzinie portfeli kryptowalutowych, oferująca bezpieczne rozwiązania do zarządzania różnymi walutami cyfrowymi. Założona w 2017 roku, firma szybko zyskała popularność dzięki łatwości użytkowania i zaawansowanym funkcjom. Jednak ten incydent uwidacznia rosnące wyzwania, przed którymi stoją firmy z tego sektora w zakresie bezpieczeństwa i ochrony danych.
