#钱包安全漏洞 Увидев ситуацию с Trust Wallet, в моей голове сразу же всплыл инцидент The DAO 2016 года. Тогда тоже была уязвимость на уровне исходного кода, тоже случилось в самый неподходящий момент — перед Рождеством, и хакеры точно выбрали временное окно. История повторяется настолько болезненно похоже.

На этот раз методика Trust Wallet была ещё более жестокой: 8 декабря — разведка, 22 декабря — установка бэкдора, 25 декабря — начало перевода средств. Весь ритм рассчитан идеально. Злоумышленники напрямую модифицировали исходный код, используя PostHog — легальный инструмент — в качестве прикрытия, и перехватывали seed-фразы через поле сообщений об ошибках. Судя по тактике и техникам, это уже не простая атака на цепочку поставок, а операция APT-уровня — права разработчика, похоже, были скомпрометированы давно.

Потеря более 6 миллионов долларов сама по себе шокирует, но ещё более тревожное открытие — это фундаментальная дилемма безопасности кошельков: никакой криптографический алгоритм не защитит от компрометации изнутри. За годы работы в крипто я пережил множество инцидентов безопасности и каждый раз думал "на этот раз должна быть последняя", но реальность такова: пока существует централизованный механизм обновлений, такой риск всегда присутствует. MetaMask, imToken, Exodus — все эти кошельки пережили подобные страшные моменты.

Главный вывод: некоторые инвесторы всё ещё спрашивают "а если обновиться до версии 2.69, то будет безопасно?", и я хочу сказать, что вопрос поставлен неправильно. Нужно спрашивать не это. Правильный вопрос: насколько сильно вы готовы полагаться на третьих лиц? Опытные игроки, которые действительно заботятся о безопасности, давно уже перешли на аппаратные кошельки или кошельки с самоуправлением. Открытость и удобство использования Trust Wallet когда-то были его преимуществами, но при столкновении с APT все это превратилось в уязвимости.

Если вы всё ещё используете такие расширенные кошельки, рекомендую сейчас же сделать три вещи: немедленно отключитесь от сети и проверьте систему, экспортируйте приватные ключи в оффлайн-кошелёк, а затем — серьёзно пересмотрите вашу стратегию управления активами.