Tiện ích mở rộng trình duyệt Trust Wallet đã bị tấn công chuỗi cung ứng trong phiên bản 2.68. Tin tặc đã chặn thành công thông tin cụm từ hạt giống đã nhập của người dùng bằng cách cấy mã độc được ngụy trang dưới dạng công cụ phân tích PostHog. Chỉ trong vòng vài giờ, hàng trăm ví đã nhanh chóng được làm trống, với khoản lỗ được xác nhận vượt quá 7 triệu đô la.

Mức độ nghiêm trọng của sự cố này nằm ở khả năng tàng hình của nó - mã độc được ngụy trang thành một thư viện phân tích dữ liệu chung và rất khó phát hiện. Người dùng nạn nhân hoàn toàn không biết rằng cụm từ hạt giống của mình đã bị đánh cắp trong thời gian thực khi anh ta nhập ví.

Một quan chức từ một sàn giao dịch hàng đầu sau đó đã lên tiếng, nói rằng họ sẽ bồi thường đầy đủ cho người dùng nạn nhân và đảm bảo an toàn cho tiền. Cam kết này là một sự trấn an kịp thời.

Nhưng sự cố này cũng phơi bày một vấn đề sáo rỗng: mặc dù ví không lưu ký tuyên bố là tự kiểm soát, nhưng bản thân các tiện ích mở rộng trình duyệt thực sự có rủi ro cao. Quyền plugin quá mức, kiểm tra mã khó khăn và nhiều liên kết chuỗi cung ứng - bất kỳ điểm yếu nào cũng có thể trở thành một bước đột phá.

Bài học trực tiếp nhất là:**Ví nóng của trình duyệt không thích hợp để lưu trữ số tiền lớn, chứ đừng nói đến việc nhập các cụm từ ghi nhớ theo ý muốn**。 Ví lạnh và ví cứng là tư thế chính xác để lưu trữ lâu dài. Nếu phải sử dụng ví nóng, bạn cũng phải kiểm soát chặt chẽ hạn ngạch và rút bao nhiêu tùy thích. Ngoài ra, điều quan trọng là phải thường xuyên kiểm tra phiên bản plugin và chú ý đến các thông báo bảo mật chính thức.

Làn sóng sự cố này một lần nữa nhắc nhở cả cộng đồng rằng trong khi chăm sóc bản thân, trách nhiệm tự bảo vệ bản thân cũng phải theo kịp.