Das Update, das Wallets leerte

Was genau beim Trust Wallet Vorfall passiert ist

Schritt 1: Ein neues Browser-Erweiterungs-Update wurde veröffentlicht

Ein neues Update für die Trust Wallet Browser-Erweiterung wurde am 24.12. veröffentlicht.

• Das Update schien routinemäßig.

• Es gab keine größeren Sicherheitswarnungen.

• Benutzer installierten es über den üblichen Update-Prozess.

Zu diesem Zeitpunkt schien nichts verdächtig.

Schritt 2: Neuer Code wurde zur Erweiterung hinzugefügt

Nach dem Update bemerkten Forscher, die die Dateien der Erweiterung untersuchten, Änderungen in einer JavaScript-Datei namens 4482.js.

Wichtige Beobachtung:

Dies ist wichtig, da Browser-Wallets sehr sensible Umgebungen sind; jede neue ausgehende Logik stellt ein hohes Risiko dar.

Schritt 3: Code tarnte sich als „Analytics"

Die hinzugefügte Logik erschien als Analyse- oder Telemetrie-Code.

Konkret:

• Es sah aus wie Tracking-Logik, die von gängigen Analytics-SDKs verwendet wird.

• Es wurde nicht die ganze Zeit ausgelöst.

• Es aktivierte sich nur unter bestimmten Bedingungen.

Dieses Design machte es schwerer, es bei einfachen Tests zu erkennen.

Schritt 4: Auslösebedingung — Importieren einer Seed-Phrase

Community-Reverse-Engineering deutet darauf hin, dass die Logik ausgelöst wurde, wenn ein Benutzer eine Seed-Phrase in die Erweiterung importierte.

Warum dies kritisch ist:

• Das Importieren einer Seed-Phrase gibt dem Wallet volle Kontrolle.

• Dies ist ein einmaliger, hochwertiger Moment.

• Jeder bösartige Code muss nur einmal agieren.

Benutzer, die nur bestehende Wallets verwendeten, haben diesen Pfad möglicherweise nicht ausgelöst.

Schritt 5: Wallet-Daten wurden extern gesendet

Als die Auslösebedingung eintrat, sendete der Code angeblich Daten an einen externen Endpunkt:

metrics-trustwallet[.]com

Was Alarm auslöste:

• Die Domain sah einer legitimen Trust Wallet-Subdomain sehr ähnlich.

• Sie wurde nur Tage zuvor registriert.

• Sie war nicht öffentlich dokumentiert.

• Sie ging später offline.

Zumindest bestätigt dies unerwartete ausgehende Kommunikation von der Wallet-Erweiterung.

Schritt 6: Angreifer handelten sofort

Kurz nach dem Import von Seed-Phrases berichteten Benutzer:

• Wallets wurden innerhalb von Minuten geleert.

• Mehrere Vermögenswerte wurden schnell bewegt.

• Keine weitere Benutzerinteraktion war erforderlich.

On-Chain-Verhalten zeigte:

• Automatisierte Transaktionsmuster.

• Mehrere Zieladressen.

• Kein offensichtlicher Phishing-Genehmigungsablauf.

Dies deutet darauf hin, dass Angreifer bereits genug Zugriff hatten, um Transaktionen zu signieren.

Schritt 7: Gelder wurden über Adressen konsolidiert

Gestohlene Vermögenswerte wurden über mehrere von Angreifern kontrollierte Wallets geleitet.

Warum dies wichtig ist:

• Es deutet auf Koordination oder Scripting hin.

• Es reduziert die Abhängigkeit von einer einzigen Adresse.

• Es entspricht dem Verhalten, das bei organisierten Exploits beobachtet wird.

Schätzungen basierend auf verfolgten Adressen deuten darauf hin, dass Millionen von Dollar bewegt wurden, obwohl die Gesamtsummen variieren.

Schritt 8: Die Domain wurde dunkel

Nachdem die Aufmerksamkeit zunahm:

• Die verdächtige Domain reagierte nicht mehr.

• Keine öffentliche Erklärung folgte sofort.

• Screenshots und zwischengespeicherte Beweise wurden entscheidend.

Dies ist konsistent mit Angreifern, die Infrastruktur zerstören, sobald sie aufgedeckt werden.

Schritt 9: Offizielle Bestätigung kam später

Trust Wallet bestätigte später:

• Ein Sicherheitsvorfall betraf eine bestimmte Version der Browser-Erweiterung.

• Mobile Benutzer waren nicht betroffen.

• Benutzer sollten die Erweiterung aktualisieren oder deaktivieren.

Allerdings wurde keine vollständige technische Aufschlüsselung sofort gegeben, um zu erklären:

• Warum die Domain existierte.

• Ob Seed-Phrases offengelegt wurden.

• Ob dies ein internes, Drittanbieter- oder externes Problem war.

Diese Lücke befeuerte anhaltende Spekulationen.

Was bestätigt ist

• Ein Browser-Erweiterungs-Update führte neues ausgehendes Verhalten ein.

• Benutzer verloren Gelder kurz nach dem Import von Seed-Phrases.

• Der Vorfall war auf eine bestimmte Version beschränkt.

• Trust Wallet erkannte ein Sicherheitsproblem an.

Was stark vermutet wird

• Ein Supply-Chain-Problem oder bösartige Code-Injektion.

• Seed-Phrases oder Signierfähigkeit wurden offengelegt.

• Die Analyse-Logik wurde missbraucht oder als Waffe eingesetzt.

Was noch unbekannt ist

• Ob der Code absichtlich bösartig war oder upstream kompromittiert wurde.

• Wie viele Benutzer betroffen waren.

• Ob andere Daten genommen wurden.

• Genaue Zuordnung der Angreifer.

Warum dieser Vorfall wichtig ist

Dies war kein typisches Phishing.

Es verdeutlicht:

• Die Gefahr von Browser-Erweiterungen.

• Das Risiko, Updates blind zu vertrauen.

• Wie Analyse-Code missbraucht werden kann.

• Warum der Umgang mit Seed-Phrases der kritischste Moment in der Wallet-Sicherheit ist.

Selbst eine kurzlebige Schwachstelle kann ernsthafte Konsequenzen haben.