Lỗ hổng mở rộng Chrome của Trust Wallet rút sạch hơn $6M trong quỹ người dùng

Nguồn: CoinEdition Tiêu đề gốc: Trust Wallet Chrome Extension Breach Drains Over $6M in User Funds Liên kết gốc: https://coinedition.com/trust-wallet-chrome-extension-breach-drains-over-6m-in-user-funds/

• Cập nhật tiện ích mở rộng Chrome của Trust Wallet (v2.68) đã kích hoạt việc rút tiền nhanh chóng bắt đầu từ ngày 24 tháng 12.
• Dữ liệu trên chuỗi xác nhận hơn $6 triệu đô la bị mất trên các mạng Ethereum, Bitcoin và Solana trong vòng vài giờ.
• Trust Wallet xác nhận vấn đề sau hơn 30 giờ và thúc giục người dùng nâng cấp lên phiên bản v2.69.

Tiền của người dùng bắt đầu biến mất vào ngày 24 tháng 12 sau khi có bản cập nhật mới của tiện ích mở rộng Chrome của Trust Wallet. Các báo cáo cho thấy việc rút hết tiền khỏi ví ngay sau khi người dùng nhập seed phrase vào phiên bản tiện ích mở rộng trình duyệt 2.68.

Các khoản mất mát lan rộng trên các mạng dựa trên Ethereum, Bitcoin và Solana. Dữ liệu trên chuỗi xác nhận các giao dịch nhanh chóng mà không có độ trễ hoặc giai đoạn trung gian. Tiền được chuyển đi trong vòng vài phút. Nhà điều tra blockchain ZachXBT theo dõi hoạt động này và ước tính thiệt hại trên $6 triệu đô la trong vòng vài giờ.

Số tiền bị đánh cắp đã được chuyển đến nhiều ví khác nhau. Trong số đó, một ví mới tạo vẫn còn giữ hơn 255 ETH, trị giá khoảng 750.000 đô la. Hơn 12 BTC cũng đã được chuyển qua một địa chỉ Bitcoin duy nhất.

Trust Wallet xác nhận sự cố bảo mật

Trust Wallet xác nhận đã xảy ra sự cố bảo mật liên quan đến phiên bản tiện ích mở rộng trình duyệt 2.68. Công ty kêu gọi người dùng ngừng sử dụng phiên bản đó và nâng cấp ngay lên phiên bản 2.69. Người dùng chỉ dùng di động không bị ảnh hưởng. Các phiên bản tiện ích mở rộng khác cũng không bị ảnh hưởng.

Chúng tôi đã xác định một sự cố bảo mật chỉ ảnh hưởng đến phiên bản Trust Wallet Browser Extension 2.68. Người dùng có Extension 2.68 nên vô hiệu hóa và nâng cấp lên 2.69.

Công ty đã phát hành cảnh báo công khai đầu tiên sau hơn 30 giờ kể từ các báo cáo đầu tiên. Trong khoảng thời gian đó, các giao dịch chuyển tiền vẫn tiếp tục diễn ra đến cuối ngày 25 tháng 12.

Trust Wallet chưa công bố nguyên nhân kỹ thuật đầy đủ và chưa xác nhận liệu chính bản cập nhật có gây ra vụ vi phạm hay không.

Một sàn giao dịch lớn sẽ bồi thường thiệt hại cho người dùng

Người sáng lập của một sàn giao dịch lớn và chủ sở hữu của Trust Wallet tuyên bố rằng tất cả người dùng bị ảnh hưởng sẽ được hoàn trả. Ông nói tổng thiệt hại đã lên tới khoảng $7 triệu đô la và sẽ được bồi thường bởi Quỹ Tài Sản An Toàn cho Người Dùng (SAFU) của sàn.

Sàn đang xem xét cách hành vi độc hại này vượt qua các kiểm tra và đến được với người dùng như thế nào. Chưa có bước phục hồi hoặc kết quả kiểm toán nào được công bố. Các nhà phân tích khuyên nên xem xét các giao dịch, thu hồi quyền truy cập và chuyển số tiền còn lại sang các ví mới với seed phrase mới.

Vụ việc đã làm dấy lên lo ngại về các ví tiền điện tử dựa trên trình duyệt. Các tiện ích mở rộng Chrome hoạt động với quyền hạn cao. Các trường hợp trước đây cho thấy một bản cập nhật xấu có thể làm lộ seed phrase hoặc thay đổi dữ liệu giao dịch.