ZachXBT menandai dugaan masalah ekstensi Trust Wallet saat pengguna melaporkan dana terkuras

Kekhawatiran keamanan muncul seputar ekstensi browser Trust Wallet pada 25 Desember, setelah investigator blockchain ZachXBT menandai aktivitas mencurigakan yang berpotensi terkait dengan pembaruan terbaru, mendorong peringatan dari pengembang dan akun yang berfokus pada keamanan.

Menurut postingan yang beredar di X, masalah ini mungkin berasal dari dugaan kompromi rantai pasokan yang diperkenalkan dalam pembaruan ekstensi browser pada 24 Desember. 

Kode yang baru ditambahkan dalam ekstensi dapat secara diam-diam mengekstraksi data dompet sensitif ketika pengguna mengimpor seed phrase. Klaim tersebut menunjukkan bahwa hal ini telah menyebabkan pengosongan dompet secara langsung.

Dugaan kode berbahaya Trust Wallet dan klaim eksfiltrasi data

Pengembang yang memeriksa ekstensi menuduh bahwa file JavaScript yang ditambahkan dalam pembaruan berisi logika yang menyamar sebagai analitik. 

Kode tersebut dikatakan aktif secara khusus ketika seed phrase diimpor. Kemudian secara diam-diam mengirimkan data terkait dompet ke domain eksternal yang dirancang menyerupai infrastruktur resmi Trust Wallet.

Domain yang direferensikan dalam laporan dilaporkan baru terdaftar beberapa hari yang lalu dan sejak itu telah offline. 

Peneliti berargumen bahwa penciptaan baru-baru ini dan waktu pembaruan ekstensi menimbulkan kekhawatiran tentang serangan rantai pasokan yang terkoordinasi daripada phishing dari sisi pengguna.

Pengguna melaporkan pengosongan dompet setelah impor seed

Beberapa pengguna telah melaporkan dompet dikosongkan tidak lama setelah mengimpor seed phrase ke ekstensi browser Trust Wallet. 

Perkiraan yang dibagikan secara publik menunjukkan bahwa lebih dari $2 juta mungkin telah hilang. Meskipun angka-angka ini belum diverifikasi secara independen.

Analis mengindikasikan bahwa dana dialihkan melalui beberapa alamat, pola yang lebih umum dikaitkan dengan eksploitasi otomatis daripada kesalahan pengguna yang terisolasi.

Ruang lingkup tampaknya terbatas pada ekstensi browser

Pada tahap ini, tidak ada indikasi bahwa aplikasi seluler Trust Wallet terpengaruh. 

Peringatan yang beredar online difokuskan secara khusus pada ekstensi browser. Di sinilah mekanisme pembaruan dan dependensi pihak ketiga menghadirkan risiko rantai pasokan yang lebih tinggi.

Pengguna disarankan untuk tidak mengimpor seed phrase ke ekstensi browser Trust Wallet sampai klarifikasi lebih lanjut diberikan.

Belum ada respons resmi dari Trust Wallet

Pada saat penulisan, Trust Wallet belum mengeluarkan respons publik, klarifikasi, atau nasihat keamanan yang membahas tuduhan tersebut. 

Belum ada konfirmasi atau penolakan atas klaim tersebut, juga tidak ada pengumuman tentang ekstensi, rollback, atau patch darurat.

Investigasi sedang berlangsung

Peneliti telah menekankan bahwa situasi tersebut tetap dalam investigasi aktif. Kesimpulan tidak boleh diambil sampai kode ekstensi dan aktivitas on-chain terkait telah ditinjau sepenuhnya.

Jika dikonfirmasi, insiden tersebut akan mewakili kompromi rantai pasokan yang serius.

Ini adalah kelas serangan yang berbeda secara signifikan dari phishing atau kesalahan sisi pengguna. Juga, secara historis telah menghasilkan kerugian cepat dan berskala besar di seluruh ekosistem kripto.

Pemikiran Akhir

• Tuduhan tersebut menunjuk pada risiko rantai pasokan yang berpotensi serius yang mempengaruhi ekstensi dompet, menggarisbawahi bagaimana pembaruan kode dapat menjadi vektor serangan kritis jika dikompromikan.
• Tanpa respons dari Trust Wallet, pengguna dan peneliti dibiarkan bergantung pada investigasi independen sementara pengawasan seputar insiden terus berlanjut.