Уязвимость расширения Trust Wallet для Chrome: $7M Украдено с помощью скрытого вредоносного скрипта, который мог обойти обнаружение

Мир безопасности взорвался после того, как Trust Wallet отключила свою версию расширения Chrome 2.68 25 декабря 2025 года, в связи с критическим инцидентом, который скомпрометировал кошельки пользователей на нескольких блокчейн-сетях. Аварийное обновление было выпущено после того, как исследователи и пострадавшие сообщили о скоординированных выводах средств, связанных с уязвимой версией, с подтвержденными потерями примерно $7 миллионов.

Хронология атаки и масштаб

Пользователи начали сообщать о краже активов вскоре после 24 декабря, когда версия 2.68 была распространена примерно среди 1 миллиона пользователей расширения Chrome. Уязвимость создала узкое, но катастрофическое окно — жертвы, импортировавшие или вводившие свои seed-фразы во время работы с уязвимой версией, обнаруживали, что их активы выводятся на неизвестные адреса в течение нескольких часов.

Trust Wallet выпустила исправление версии 2.69 в тот же день, когда инцидент стал публичным, устранив основную причину. Компания позже подтвердила, что мобильные пользователи и другие версии расширений остались неуязвимыми. Однако ущерб уже был нанесен тем, кто взаимодействовал с 2.68 в уязвимый период.

Технический разбор: как скрипт избегает систем обнаружения

Исследователи безопасности, анализирующие версию 2.68, обнаружили зашифрованную JavaScript-логику, встроенную в пакет расширения, включая ссылки на подозрительный файл “4482.js”. Этот вредоносный скрипт предназначен для перехвата секретов кошелька и передачи их на внешние серверы, эффективно собирая приватные ключи у ничего не подозревающих пользователей.

Что делало эту атаку особенно опасной, так это сложность того, как вредоносный код пытался уклониться как от автоматических систем безопасности, так и от обнаружения во время выполнения. Скрипт использовал техники обфускации, которые, по мнению исследований, могут со временем снижать эффективность систем статического машинного обучения для обнаружения — явление, известное как “concept drift” в академической литературе.

Целью атаки были именно пользовательские вводы в наиболее чувствительной точке процесса подписи. Расширения браузеров занимают критическую позицию между веб-интерфейсами и криптографическими операциями, что означает, что любое компрометирование напрямую угрожает тем данным, на которых пользователи полагаются для подтверждения транзакций и управления активами.

Кто был уязвим и что делать сейчас

Группа с наибольшим риском — это пользователи, которые импортировали или вводили seed-фразу после установки 2.68 — seed-фраза служит главным ключом ко всем текущим и будущим адресам, созданным из нее, делая ее вершиной безопасности кошелька.

Для пострадавших пользователей просто обновление до 2.69 недостаточно. Исправление предотвращает будущие эксплуатации, но не защищает уже скомпрометированные учетные данные. Стандартные меры реагирования включают:

• Рассматривать скомпрометированную seed как навсегда небезопасную и создавать новый кошелек с новой seed-фразой
• Перевести все средства на адреса, сгенерированные из новой seed
• Отозвать разрешения токенов там, где это возможно, чтобы предотвратить дополнительные выводы
• Проверить целостность системы перед повторным использованием любого устройства, обработавшего скомпрометированную фразу

Эти шаги требуют значительных операционных усилий со стороны розничных пользователей, включая восстановление позиций на нескольких цепочках и в приложениях. Расходы на газ и риски при мостах добавляют еще один уровень сложности в процессе восстановления.

Trust Wallet также предупредила о вторичных мошенничествах, использующих инцидент. Злоумышленники запустили поддельные домены “fix”, пытаясь обмануть паникующих пользователей, заставляя их раскрывать фразы восстановления под предлогом предоставления решений.

Влияние на рынок и движение цены TWT

Токен Trust Wallet (TWT) показал смешанную реакцию рынка на объявление о взломе. Текущая цена отражает умеренную озабоченность, а не паническую распродажу:

• Текущая цена: $0.88
• Изменение за 24 часа: -1.92%
• Дневной диапазон: $0.86–$0.90

Относительно стабильное движение цены говорит о том, что рынок учитывает быстрый ответ Trust Wallet и их обязательство компенсировать пострадавших, хотя долгосрочная доверие зависит от прозрачности и полного раскрытия информации после инцидента.

Более широкие последствия для инфраструктуры крипто

Этот инцидент вновь поднимает фундаментальные вопросы о том, как программное обеспечение для потребителей управляет секретами на устройствах общего назначения. Метод распространения — через официальные магазины приложений с проверками — поднимает неудобные истины о ограничениях автоматизированных систем безопасности и необходимости в:

• Воспроизводимых сборках для независимой проверки
• Разделенной подписи ключей для распределения доверия
• Ясных механизмов отката при необходимости срочных исправлений
• Усиленных проверках расширений браузеров, которые выявляют зашифрованный вредоносный код до его внедрения

Этот взлом подчеркивает, что даже доверенные решения-кастодианы остаются уязвимыми, когда работают в рамках ограничений платформ общего назначения.

Что будет дальше: диапазон неопределенности

Подсчет потерь остается неопределенным. Подтвержденные $7 миллионов Trust Wallet могут измениться в зависимости от:

• Задержек в отчетах жертв в ближайшие недели
• Дополнительных векторов атак, которые могут обнаружить следователи
• Межцепочечного отслеживания движений украденных средств через обмены и маршруты свопов
• Эффективности мер по предотвращению копирования

Индустриальные наблюдатели ожидают, что диапазон потерь может развиваться следующим образом в течение следующих 2–8 недель:

Пути развития событий

Обязательство Trust Wallet возместить всем пострадавшим — это значительная финансовая ответственность, но оно демонстрирует уверенность в своем расследовании. Прозрачность компании определит, станет ли этот инцидент предостережением или катализатором для улучшения безопасности отрасли в целом.

Для пользователей логика проста: вводили ли вы seed-фразу, пока работала версия 2.68? Если да — немедленно смените ее. Если нет — обновление до 2.69 из официального Chrome Web Store устраняет непосредственную угрозу. В любом случае, руководство Trust Wallet однозначно — отключите 2.68 и обновляйтесь сейчас.