Pembaruan yang Menguras Dompet

Apa yang Sebenarnya Terjadi dalam Insiden Trust Wallet

Langkah 1: Pembaruan Ekstensi Browser Baru Dirilis

Pembaruan baru untuk ekstensi browser Trust Wallet dirilis pada 24 Desember.

• Pembaruan tersebut tampak rutin.

• Tidak ada peringatan keamanan besar yang menyertainya.

• Pengguna menginstalnya melalui proses pembaruan biasa.

Pada titik ini, tidak ada yang tampak mencurigakan.

Langkah 2: Kode Baru Ditambahkan ke Ekstensi

Setelah pembaruan, peneliti yang memeriksa file ekstensi memperhatikan perubahan dalam file JavaScript yang dikenal sebagai 4482.js.

Pengamatan kunci:

Ini penting karena wallet browser adalah lingkungan yang sangat sensitif; setiap logika keluar baru menimbulkan risiko tinggi.

Langkah 3: Kode Menyamar sebagai "Analytics"

Logika yang ditambahkan muncul sebagai kode analytics atau telemetri.

Secara khusus:

• Terlihat seperti logika pelacakan yang digunakan oleh SDK analytics umum.

• Tidak terpicu sepanjang waktu.

• Hanya aktif dalam kondisi tertentu.

Desain ini membuatnya lebih sulit dideteksi selama pengujian kasual.

Langkah 4: Kondisi Pemicu — Mengimpor Seed Phrase

Reverse-engineering komunitas menunjukkan logika tersebut terpicu ketika pengguna mengimpor seed phrase ke dalam ekstensi.

Mengapa ini kritis:

• Mengimpor seed phrase memberikan kontrol penuh kepada wallet.

• Ini adalah momen sekali waktu dengan nilai tinggi.

• Kode berbahaya apa pun hanya perlu bertindak sekali.

Pengguna yang hanya menggunakan wallet yang sudah ada mungkin tidak memicu jalur ini.

Langkah 5: Data Wallet Dikirim ke Eksternal

Ketika kondisi pemicu terjadi, kode diduga mengirim data ke endpoint eksternal:

metrics-trustwallet[.]com

Apa yang menimbulkan alarm:

• Domain tersebut sangat mirip dengan subdomain Trust Wallet yang sah.

• Domain ini terdaftar hanya beberapa hari sebelumnya.

• Tidak didokumentasikan secara publik.

• Kemudian offline.

Setidaknya, ini mengkonfirmasi komunikasi keluar yang tidak terduga dari ekstensi wallet.

Langkah 6: Penyerang Bertindak Segera

Segera setelah impor seed phrase, pengguna melaporkan:

• Wallet dikuras dalam hitungan menit.

• Beberapa aset dipindahkan dengan cepat.

• Tidak diperlukan interaksi pengguna lebih lanjut.

Perilaku on-chain menunjukkan:

• Pola transaksi otomatis.

• Beberapa alamat tujuan.

• Tidak ada alur persetujuan phishing yang jelas.

Ini menunjukkan penyerang sudah memiliki akses yang cukup untuk menandatangani transaksi.

Langkah 7: Dana Dikonsolidasikan di Berbagai Alamat

Aset yang dicuri dialihkan melalui beberapa wallet yang dikontrol penyerang.

Mengapa ini penting:

• Ini menunjukkan koordinasi atau scripting.

• Mengurangi ketergantungan pada satu alamat.

• Cocok dengan perilaku yang terlihat dalam eksploitasi terorganisir.

Perkiraan berdasarkan alamat yang dilacak menunjukkan jutaan dolar berpindah, meskipun totalnya bervariasi.

Langkah 8: Domain Menjadi Gelap

Setelah perhatian meningkat:

• Domain yang mencurigakan berhenti merespons.

• Tidak ada penjelasan publik yang segera menyusul.

• Screenshot dan bukti cache menjadi penting.

Ini konsisten dengan penyerang yang menghancurkan infrastruktur setelah terungkap.

Langkah 9: Pengakuan Resmi Datang Kemudian

Trust Wallet kemudian mengkonfirmasi:

• Insiden keamanan memengaruhi versi tertentu dari ekstensi browser.

• Pengguna mobile tidak terpengaruh.

• Pengguna harus memperbarui atau menonaktifkan ekstensi.

Namun, tidak ada rincian teknis lengkap yang diberikan segera untuk menjelaskan:

• Mengapa domain tersebut ada.

• Apakah seed phrase terekspos.

• Apakah ini masalah internal, pihak ketiga, atau eksternal.

Kesenjangan ini memicu spekulasi yang sedang berlangsung.

Apa yang Dikonfirmasi

• Pembaruan ekstensi browser memperkenalkan perilaku keluar baru.

• Pengguna kehilangan dana segera setelah mengimpor seed phrase.

• Insiden terbatas pada versi tertentu.

• Trust Wallet mengakui masalah keamanan.

Apa yang Sangat Dicurigai

• Masalah supply-chain atau injeksi kode berbahaya.

• Seed phrase atau kemampuan penandatanganan terekspos.

• Logika analytics disalahgunakan atau dipersenjatai.

Apa yang Masih Tidak Diketahui

• Apakah kode tersebut sengaja berbahaya atau dikompromikan upstream.

• Berapa banyak pengguna yang terpengaruh.

• Apakah ada data lain yang diambil.

• Atribusi pasti dari penyerang.

Mengapa Insiden Ini Penting

Ini bukan phishing biasa.

Ini menyoroti:

• Bahaya ekstensi browser.

• Risiko mempercayai pembaruan secara membabi buta.

• Bagaimana kode analytics dapat disalahgunakan.

• Mengapa penanganan seed phrase adalah momen paling kritis dalam keamanan wallet.

Bahkan kerentanan yang berumur pendek dapat memiliki konsekuensi serius.