Aktualizacja, która opróżniła portfele

Co dokładnie wydarzyło się w incydencie Trust Wallet

Krok 1: Wydano nową aktualizację rozszerzenia przeglądarki

Nowa aktualizacja rozszerzenia przeglądarki Trust Wallet została wydana 24 grudnia.

• Aktualizacja wydawała się rutynowa.

• Nie towarzyszyły jej żadne ważne ostrzeżenia bezpieczeństwa.

• Użytkownicy zainstalowali ją w ramach standardowego procesu aktualizacji.

W tym momencie nic nie wydawało się podejrzane.

Krok 2: Do rozszerzenia dodano nowy kod

Po aktualizacji badacze analizujący pliki rozszerzenia zauważyli zmiany w pliku JavaScript znanym jako 4482.js.

Kluczowa obserwacja:

Ma to znaczenie, ponieważ portfele przeglądarek to bardzo wrażliwe środowiska; jakakolwiek nowa logika wychodząca stwarza wysokie ryzyko.

Krok 3: Kod podszywał się pod „Analitykę"

Dodana logika wyglądała jak kod analityczny lub telemetryczny.

Konkretnie:

• Wyglądała jak logika śledzenia używana przez popularne SDK analityczne.

• Nie uruchamiała się przez cały czas.

• Aktywowała się tylko w określonych warunkach.

Ten projekt utrudniał wykrycie podczas zwykłego testowania.

Krok 4: Warunek uruchomienia — Import frazy seed

Inżynieria wsteczna przeprowadzona przez społeczność sugeruje, że logika uruchamiała się, gdy użytkownik importował frazę seed do rozszerzenia.

Dlaczego to jest krytyczne:

• Importowanie frazy seed daje portfelowi pełną kontrolę.

• To jednorazowy moment o dużej wartości.

• Jakikolwiek złośliwy kod musi zadziałać tylko raz.

Użytkownicy, którzy korzystali tylko z istniejących portfeli, mogli nie uruchomić tej ścieżki.

Krok 5: Dane portfela zostały wysłane na zewnątrz

Gdy warunek uruchomienia wystąpił, kod rzekomo wysłał dane do zewnętrznego punktu końcowego:

metrics-trustwallet[.]com

Co wzbudziło alarm:

• Domena wyglądała bardzo podobnie do legalnej subdomeny Trust Wallet.

• Została zarejestrowana zaledwie kilka dni wcześniej.

• Nie była publicznie udokumentowana.

• Później przestała działać.

Co najmniej potwierdza to nieoczekiwaną komunikację wychodzącą z rozszerzenia portfela.

Krok 6: Atakujący działali natychmiast

Wkrótce po imporcie fraz seed użytkownicy zgłaszali:

• Portfele opróżnione w ciągu kilku minut.

• Wiele aktywów szybko przeniesiono.

• Nie była potrzebna żadna dalsza interakcja użytkownika.

Zachowanie on-chain pokazało:

• Zautomatyzowane wzorce transakcji.

• Wiele adresów docelowych.

• Brak oczywistego przepływu zatwierdzania phishingowego.

Sugeruje to, że atakujący mieli już wystarczający dostęp do podpisywania transakcji.

Krok 7: Środki zostały skonsolidowane na różnych adresach

Skradzione aktywa zostały przekierowane przez kilka portfeli kontrolowanych przez atakujących.

Dlaczego to ma znaczenie:

• Sugeruje to koordynację lub skryptowanie.

• Zmniejsza to zależność od pojedynczego adresu.

• Odpowiada zachowaniu widzianemu w zorganizowanych exploitach.

Szacunki oparte na śledzonych adresach sugerują, że przeniesiono miliony dolarów, chociaż sumy się różnią.

Krok 8: Domena przestała działać

Po zwiększeniu uwagi:

• Podejrzana domena przestała odpowiadać.

• Żadne publiczne wyjaśnienie nie zostało natychmiast przedstawione.

• Zrzuty ekranu i zapisane dowody stały się kluczowe.

Jest to zgodne z niszczeniem infrastruktury przez atakujących po wykryciu.

Krok 9: Oficjalne potwierdzenie nastąpiło później

Trust Wallet później potwierdził:

• Incydent bezpieczeństwa dotknął określoną wersję rozszerzenia przeglądarki.

• Użytkownicy mobilni nie zostali dotknięci.

• Użytkownicy powinni uaktualnić lub wyłączyć rozszerzenie.

Jednak nie przedstawiono od razu pełnego technicznego wyjaśnienia dotyczącego:

• Dlaczego domena istniała.

• Czy frazy seed zostały ujawnione.

• Czy był to problem wewnętrzny, strony trzeciej czy zewnętrzny.

Ta luka podsyciła dalsze spekulacje.

Co zostało potwierdzone

• Aktualizacja rozszerzenia przeglądarki wprowadziła nowe zachowanie wychodzące.

• Użytkownicy stracili środki krótko po zaimportowaniu fraz seed.

• Incydent był ograniczony do określonej wersji.

• Trust Wallet przyznał problem z bezpieczeństwem.

Co jest silnie podejrzewane

• Problem z łańcuchem dostaw lub wstrzyknięcie złośliwego kodu.

• Ujawnienie fraz seed lub możliwości podpisywania.

• Niewłaściwe wykorzystanie lub uzbrojenie logiki analitycznej.

Co nadal pozostaje nieznane

• Czy kod był celowo złośliwy, czy został skompromitowany upstream.

• Ilu użytkowników zostało dotkniętych.

• Czy zostały pobrane jakiekolwiek inne dane.

• Dokładna atrybucja atakujących.

Dlaczego ten incydent ma znaczenie

To nie był typowy phishing.

Podkreśla:

• Niebezpieczeństwo rozszerzeń przeglądarek.

• Ryzyko ślepego ufania aktualizacjom.

• Jak kod analityczny może być niewłaściwie wykorzystany.

• Dlaczego obsługa fraz seed jest najważniejszym momentem w bezpieczeństwie portfela.

Nawet krótkotrwała podatność może mieć poważne konsekwencje.