Расширение браузера Trust Wallet подверглось атаке на цепочку поставок в версии 2.68. Хакер успешно перехватил импортированную пользователем информацию о seed-фразе, внедрив вредоносный код, замаскированный под инструмент анализа PostHog. Всего за несколько часов сотни кошельков были быстро опустошены, а подтверждённые убытки превысили 7 миллионов долларов.

Серьёзность этого инцидента заключается в его скрытности — вредоносный код замаскирован под обычную библиотеку анализа данных и его трудно обнаружить. Жертва-пользователь совершенно не подозревал, что его seed-фраза крадётся в реальном времени, когда он импортировал кошелёк.

Затем представитель ведущей биржи выступил, заявив, что она полностью компенсирует жертвам пользователей и обеспечит безопасность средств. Это обязательство — своевременное подтверждение.

Но этот инцидент также выявил клишированную проблему: хотя кошельки без кастодиального использования заявляют о самоконтроле, сами расширения браузера на самом деле представляют высокий риск. Чрезмерные права на плагины, сложные аудиты кода и множество связей цепочки поставок — любая слабость может стать прорывом.

Самый непосредственный урок:**Браузерные горячие кошельки не подходят для хранения больших сумм денег, не говоря уже о импорте мнемонических фраз по своему желанию**。 Холодные и аппаратные кошельки — это правильная позиция для длительного хранения. Если вам нужно использовать горячий кошелёк, нужно строго контролировать квоту и снимать столько, сколько используете. Кроме того, важно регулярно проверять версию плагина и обращать внимание на официальные объявления по безопасности.

Эта волна происшествий вновь напоминает всему сообществу, что, заботясь о себе, ответственность за самооборону также должна оставаться в ногу.