De Update Die Portemonnees Leegmaakte

Wat er precies is gebeurd tijdens het Trust Wallet-incident

Stap 1: Een nieuwe browserextensie-update werd uitgebracht

Op 24 december werd een nieuwe update voor de Trust Wallet-browserextensie uitgebracht.

• De update leek routinematig.

• Er kwamen geen belangrijke beveiligingswaarschuwingen mee.

• Gebruikers installeerden het via het gebruikelijke updateproces.

Op dit moment leek niets verdacht.

Stap 2: Nieuwe code werd toegevoegd aan de extensie

Na de update merkten onderzoekers die de bestanden van de extensie bekeken veranderingen op in een JavaScript-bestand bekend als 4482.js.

Belangrijke observatie:

Dit is belangrijk omdat browserwallets zeer gevoelige omgevingen zijn; elke nieuwe uitgaande logica vormt een hoog risico.

Stap 3: Code vermomd als "Analytics"

De toegevoegde logica verscheen als analytics- of telemetriecode.

Specifiek:

• Het leek op trackinglogica die wordt gebruikt door gangbare analytics-SDK's.

• Het werd niet altijd geactiveerd.

• Het werd alleen geactiveerd onder bepaalde voorwaarden.

Dit ontwerp maakte het moeilijker om te detecteren tijdens informele tests.

Stap 4: Triggervoorwaarde — Het importeren van een seed phrase

Community reverse-engineering suggereert dat de logica werd geactiveerd wanneer een gebruiker een seed phrase in de extensie importeerde.

Waarom dit cruciaal is:

• Het importeren van een seed phrase geeft de wallet volledige controle.

• Dit is een eenmalig, waardevol moment.

• Kwaadaardige code hoeft slechts één keer te handelen.

Gebruikers die alleen bestaande wallets gebruikten, hebben dit pad mogelijk niet geactiveerd.

Stap 5: Walletgegevens werden extern verzonden

Toen de triggervoorwaarde optrad, zou de code naar verluidt gegevens hebben verzonden naar een extern eindpunt:

metrics-trustwallet[.]com

Wat alarm sloeg:

• Het domein leek sterk op een legitiem Trust Wallet-subdomein.

• Het was slechts enkele dagen eerder geregistreerd.

• Het was niet openbaar gedocumenteerd.

• Het ging later offline.

Dit bevestigt in ieder geval onverwachte uitgaande communicatie van de walletextensie.

Stap 6: Aanvallers handelden onmiddellijk

Kort na het importeren van seed phrases meldden gebruikers:

• Wallets leeggehaald binnen enkele minuten.

• Meerdere activa snel verplaatst.

• Geen verdere gebruikersinteractie nodig.

On-chain gedrag toonde:

• Geautomatiseerde transactiepatronen.

• Meerdere bestemmingsadressen.

• Geen duidelijke phishing-goedkeuringsstroom.

Dit suggereert dat aanvallers al voldoende toegang hadden om transacties te ondertekenen.

Stap 7: Fondsen werden geconsolideerd over meerdere adressen

Gestolen activa werden geleid via verschillende door aanvallers gecontroleerde wallets.

Waarom dit belangrijk is:

• Het suggereert coördinatie of scripting.

• Het vermindert afhankelijkheid van één enkel adres.

• Het komt overeen met gedrag dat wordt gezien bij georganiseerde exploits.

Schattingen op basis van getraceerde adressen suggereren dat miljoenen dollars zijn verplaatst, hoewel totalen variëren.

Stap 8: Het domein ging op zwart

Nadat de aandacht toenam:

• Het verdachte domein stopte met reageren.

• Er volgde niet onmiddellijk een openbare verklaring.

• Screenshots en gecachte bewijzen werden cruciaal.

Dit komt overeen met aanvallers die infrastructuur vernietigen zodra ze zijn ontmaskerd.

Stap 9: Officiële erkenning kwam later

Trust Wallet bevestigde later:

• Een beveiligingsincident trof een specifieke versie van de browserextensie.

• Mobiele gebruikers werden niet getroffen.

• Gebruikers moeten de extensie upgraden of uitschakelen.

Er werd echter niet direct een volledige technische uiteenzetting gegeven om uit te leggen:

• Waarom het domein bestond.

• Of seed phrases waren blootgesteld.

• Of dit een intern, derde-partij of extern probleem was.

Deze leemte voedde voortdurende speculatie.

Wat is bevestigd

• Een browserextensie-update introduceerde nieuw uitgaand gedrag.

• Gebruikers verloren fondsen kort na het importeren van seed phrases.

• Het incident was beperkt tot een specifieke versie.

• Trust Wallet erkende een beveiligingsprobleem.

Wat sterk wordt vermoed

• Een supply-chain-probleem of kwaadaardige code-injectie.

• Seed phrases of ondertekeningsvermogen werden blootgesteld.

• De analytics-logica werd misbruikt of bewapend.

Wat nog onbekend is

• Of de code opzettelijk kwaadaardig was of upstream gecompromitteerd.

• Hoeveel gebruikers werden getroffen.

• Of andere gegevens werden gestolen.

• Exacte toeschrijving van de aanvallers.

Waarom dit incident belangrijk is

Dit was geen typische phishing.

Het benadrukt:

• Het gevaar van browserextensies.

• Het risico van blindelings updates vertrouwen.

• Hoe analytics-code kan worden misbruikt.

• Waarom het omgaan met seed phrases het meest kritieke moment is in walletbeveiliging.

Zelfs een kortdurende kwetsbaarheid kan ernstige gevolgen hebben.