Trust Walletбраузерне розширення у версії v2.68 зазнало атаки через ланцюг постачання. Хакери шляхом вставки шкідливого коду, маскуваного під аналітичний інструмент PostHog, успішно перехопили інформацію про мнемонічні фрази користувачів при імпорті гаманця. Лише за кілька годин сотні гаманців були швидко очищені, а підтверджені збитки перевищили 7 мільйонів доларів США.

Серйозність цієї події полягає у її прихованості — шкідливий код дуже схожий на поширені бібліотеки для аналізу даних, що ускладнює його виявлення. Постраждалі користувачі під час імпорту гаманця зовсім не усвідомлювали, що їхні мнемонічні фрази в реальному часі крадуться.

Офіційний представник однієї з провідних бірж згодом заявив, що постраждалим користувачам буде виплачено повну компенсацію, а безпека їхніх коштів забезпечена. Це обіцянка стала своєчасним заспокійливим сигналом.

Однак ця подія також виявила стару проблему: хоча некастодіальні гаманці позиціонуються як самостійне управління, насправді браузерне розширення є високоризикованим елементом. Надмірні дозволи плагінів, складність аудиту коду, багато ланцюгів постачання — будь-який з цих слабких місць може стати точкою прориву.

Найбільш очевидний урок: **браузерний гарячий гаманець не підходить для зберігання великих сум, і не слід імпортувати мнемонічні фрази без обережності**. Холодні гаманці та апаратні гаманці — правильний підхід для довгострокового зберігання. Якщо ж все ж використовуєте гарячий гаманець, обов’язково контролюйте ліміт — знімайте стільки, скільки потрібно. Також важливо регулярно оновлювати версії плагінів і слідкувати за офіційними повідомленнями про безпеку.

Ця подія ще раз нагадує всій спільноті: разом із самостійним управлінням активами потрібно відповідально ставитися до їхньої безпеки.