Trust Wallet Chrome Uzantısı Hackı, Tedarik Zinciri Saldırısında 7 Milyon Dolar Çalındı
Tarayıcı uzantısı sürüm 2.68'deki kötü amaçlı kod, Noel Günü yüzlerce kullanıcının fonlarını boşalttı.
Trust Wallet kullanıcıları Noel Günü tarayıcı uzantısına yerleştirilen kötü amaçlı kodun tohum ifadelerini keserek ve cüzdanları dakikalar içinde boşalttığından sonra 7 milyondan fazla dolar kaybetti.
Ne Oldu
Saldırganlar, bir gelişmiş tedarik zinciri saldırısı aracılığıyla Trust Wallet'in Chrome uzantısı sürüm 2.68'i ihlal ettiler. Kötı amaçlı güncelleme 24 Aralık'ta yayınlandı ve PostHog analitikleri izleme kodunu taklit eden gizli bir JavaScript dosyası içeriyordu.
Kullanıcılar kurtarma tohum ifadelerini uzantıya aktardığında, komut dosyası hassas verileri kesip Trust Wallet'in resmi metrikler uç noktasını taklit eden sahte bir alan adına iletdi. Noel Günü fonlar kaybolmaya başladı ve blockchain araştırmacısı ZachXBT ihlali ilk olarak flagledi.
Çalınan varlıklar yaklaşık 3 milyon BTC, 3 milyon ETH ve yaklaşık 430 SOL içeriyor. Blockchain güvenlik firması PeckShield, yaklaşık 4,25 milyon doların zaten ChangeNOW, FixedFloat, KuCoin ve HTX dahil olmak üzere merkezi borsalara gönderildiğini rapor ediyor.
Neden Önemli
Tedarik zinciri saldırıları kripto güvenliğindeki en tehlikeli tehditlerden birini temsil ediyor çünkü kurbanların kimlik avı bağlantılarını tıklaması veya şüpheli işlemleri onaylaması gerekmez. Kötü amaçlı kod, kullanıcılar tohum ifadeleri kullanarak cüzdanlarını geri yüklediklerinde otomatik olarak yürütüldü.
Bu olay, tarayıcı uzantısı güncelleme mekanizmalarındaki güvenlik açıklarını vurguluyor. Sahte alan adı istismardan sadece günler önce kaydedildi ve bulaşan uzantı Chrome Web Store'un ilk incelemesini geçti. Binance kurucusu CZ, olası içeriden bilgi sahibi katılımını ima ederek soruşturmanın devam ettiğini belirtti.
Mobil-yalnızca kullanıcılar ve diğer tarayıcı uzantısı sürümlerini kullananlar etkilenmedi. Yalnızca sürüm 2.68 ile etkileşime giren ve tohum ifadeleri içe aktaran kullanıcılar risk altında.
Neler Gözlenmeli
CZ, Trust Wallet'in Binance'in Güvenli Kullanıcı Fonu (SAFU) kullanarak tüm 7 milyon doların kaybını tam olarak geri ödeyeceğini doğruladı. Şikayetçi uzantı ile etkileşime giren kullanıcılar kalan fonları hemen yeni bir cüzdana aktarmalı ve açığa çıkan tohum ifadesini asla tekrar kullanmamalıdır.
Trust Wallet, bir düzeltme olarak sürüm 2.69'u yayınladı. Araştırma devam etmektedir ve olası içeriden bilgi sahibi katılımı incelenmektedir. Etkilenen kullanıcılar ayrıca tehlikeye maruz kalan adreslerle bağlantılı mevcut token onaylarını da iptal etmelidir.
Önemli Çıkarımlar
Bu gelişmekte olan bir hikayedir. Trust Wallet'in yanıtı ve tam geri ödeme taahhüdü biraz rahatlama sağlasa da, olay donanım cüzdanlarının kritik önemini ve yazılım güncellemelerinin dikkatli şekilde doğrulanmasını vurgulamaktadır.
