Ukradli 7 milionów dolarów w kryptowalutach. Wtyczka Trust Wallet zhakowana

Trust Wallet, jeden z najpopularniejszych portfeli kryptowalut na świecie, padł ofiarą poważnego ataku hakerskiego. W wyniku złośliwej aktualizacji rozszerzenia do Google Chrome użytkownicy stracili łącznie ponad 7 milionów dolarów.

Incydent wywołał duże poruszenie w świecie kryptowalut, bo dotyczył narzędzia reklamowanego jako bezpieczne i używanego przez setki milionów osób. Sprawa pokazuje, jak groźne mogą być ataki wymierzone w rozszerzenia przeglądarek.

Co dokładnie się wydarzyło?

Do ataku doszło 25 grudnia i dotyczył on wyłącznie rozszerzenia Trust Wallet dla Google Chrome. Złośliwy kod trafił do wersji 2.68 rozszerzenia i był aktywny tylko przez ograniczony czas. Problem dotknął użytkowników, którzy uruchomili i zalogowali się do rozszerzenia przed 26 grudnia, godziną 11:00 UTC.

Pozostali użytkownicy – w tym korzystający z aplikacji mobilnej, innych wersji rozszerzenia oraz nowszej wersji 2.69 – nie zostali objęci atakiem, a ich środki pozostały bezpieczne.

Jak działał mechanizm ataku

Złośliwy kod został sprytnie ukryty jako moduł analityczny. Po instalacji wadliwej wersji rozszerzenia użytkownik był proszony o podanie frazy odzyskiwania, czyli klucza dającego pełny dostęp do portfela.

Po jej wpisaniu dane były wysyłane na serwer podszywający się pod legalną infrastrukturę analityczną Trust Wallet. W praktyce umożliwiało to atakującym odtworzenie portfela na innym urządzeniu i natychmiastowe opróżnienie go ze wszystkich środków. Co istotne, taki atak omija choćby zabezpieczenia w postaci uwierzytelniania dwuskładnikowego.

Wtyczka naraziła ponad milion użytkowników…

Według Trust Wallet złośliwa aktualizacja nie została wdrożona zgodnie z wewnętrznymi procedurami firmy. Jedna z najbardziej prawdopodobnych hipotez zakłada wyciek klucza API do Chrome Web Store, który umożliwił opublikowanie nowej wersji rozszerzenia z pominięciem standardowych mechanizmów kontroli.

Polski Sekurak sugeruje scenariusz mailowego ataku phishingowego, w którym pracownik firmy mógł nieświadomie nadać atakującym uprawnienia do publikowania aktualizacji, klikając pozornie bezpieczny komunikat na stronie Google.

Działania naprawcze i zwrot środków

Pracownicy Trust Wallet natychmiast zgłosili złośliwą domenę wykorzystywaną w ataku, a rejestrator ją zawiesił. Firma tymczasowo wyłączyła wszystkie interfejsy API do publikacji rozszerzeń na dwa tygodnie oraz rozpoczęła przyjmowanie zgłoszeń od poszkodowanych użytkowników.

Użytkownikom zalecono wyłączenie wersji 2.68 i aktualizację do wersji 2.69. Binance potwierdził, iż wszystkie skradzione środki zostaną zwrócone. Incydent jest jednak ważnym przypomnieniem, by czytać komunikaty bezpieczeństwa, ograniczać liczbę rozszerzeń w przeglądarce i świadomie zarządzać aktualizacjami.

Atak na Trust Wallet pokazuje, iż choćby największe i najbardziej zaufane usługi nie są całkowicie odporne na błędy – a czujność użytkowników jest wciąż kluczowym elementem bezpieczeństwa.

Źródło: Sekurak, idnfinancials