A extensão do navegador Trust Wallet enfrentou um ataque à cadeia de abastecimento na versão v2.68. Os hackers, ao inserir um código malicioso disfarçado de ferramenta de análise PostHog, conseguiram interceptar com sucesso as informações das frases-semente importadas pelos utilizadores. Em apenas algumas horas, centenas de carteiras foram rapidamente esvaziadas, com perdas confirmadas superiores a 7 milhões de dólares.

A gravidade deste incidente reside na sua natureza furtiva — o código malicioso está disfarçado de uma biblioteca de análise de dados comum, tornando-se difícil de detectar. Os utilizadores afetados, ao importar as suas carteiras, não perceberam que as suas frases-semente estavam a ser roubadas em tempo real.

Uma fonte oficial de uma grande exchange posteriormente afirmou que irá compensar integralmente os utilizadores afetados, garantindo a segurança dos fundos. Esta promessa foi um alívio oportuno.

No entanto, o incidente também revelou um problema antigo: embora as carteiras não custodiais se apresentem como de controlo autónomo, na prática, as extensões de navegador representam um ponto de elevado risco. Permissões excessivas, dificuldade na auditoria do código, múltiplos elos na cadeia de abastecimento — qualquer fraqueza pode ser um ponto de entrada.

A lição mais direta é: **Carteiras quentes de navegador não são adequadas para armazenar grandes quantidades de fundos, e nunca se deve importar frases-semente de forma leviana**. As carteiras frias e hardware wallets são a estratégia correta para armazenamento a longo prazo. Se for necessário usar uma carteira quente, deve-se limitar o montante, retirando apenas o necessário. Além disso, verificar regularmente a versão da extensão e acompanhar os anúncios de segurança oficiais também é fundamental.

Este incidente mais uma vez lembra toda a comunidade: enquanto se gere a própria custódia, a responsabilidade de autoproteção também deve acompanhar.