A atualização que esvaziou carteiras

O Que Aconteceu Exatamente no Incidente da Trust Wallet

Passo 1: Foi Lançada uma Nova Atualização da Extensão do Navegador

Uma nova atualização para a extensão do navegador Trust Wallet foi lançada a 24 de dezembro.

• A atualização parecia rotineira.

• Não houve grandes avisos de segurança.

• Os utilizadores instalaram-na através do processo de atualização habitual.

Neste momento, nada parecia suspeito.

Passo 2: Foi Adicionado Novo Código à Extensão

Após a atualização, investigadores que analisavam os ficheiros da extensão notaram alterações num ficheiro JavaScript conhecido como 4482.js.

Observação principal:

Isto é importante porque as carteiras de navegador são ambientes muito sensíveis; qualquer nova lógica de saída representa um alto risco.

Passo 3: O Código Disfarçou-se de "Análise"

A lógica adicionada aparecia como código de análise ou telemetria.

Especificamente:

• Parecia lógica de rastreamento usada por SDKs de análise comuns.

• Não era ativado permanentemente.

• Ativava-se apenas em determinadas condições.

Este design tornou mais difícil a deteção durante testes casuais.

Passo 4: Condição de Ativação — Importar uma Frase-semente

A engenharia reversa da comunidade sugere que a lógica era ativada quando um utilizador importava uma frase-semente para a extensão.

Por que isto é crítico:

• Importar uma frase-semente dá à carteira controlo total.

• Este é um momento único e de alto valor.

• Qualquer código malicioso só precisa de agir uma vez.

Os utilizadores que apenas usaram carteiras existentes podem não ter ativado este caminho.

Passo 5: Os Dados da Carteira Foram Enviados Externamente

Quando a condição de ativação ocorreu, o código alegadamente enviou dados para um endpoint externo:

metrics-trustwallet[.]com

O que levantou alarmes:

• O domínio parecia muito semelhante a um subdomínio legítimo da Trust Wallet.

• Foi registado apenas dias antes.

• Não estava publicamente documentado.

• Posteriormente ficou offline.

Pelo menos, isto confirma comunicação de saída inesperada da extensão da carteira.

Passo 6: Os Atacantes Agiram Imediatamente

Logo após a importação de frases-semente, os utilizadores relataram:

• Carteiras esvaziadas em minutos.

• Múltiplos ativos movidos rapidamente.

• Não foi necessária mais interação do utilizador.

O comportamento on-chain mostrou:

• Padrões de transação automatizados.

• Múltiplos endereços de destino.

• Nenhum fluxo óbvio de aprovação de phishing.

Isto sugere que os atacantes já tinham acesso suficiente para assinar transações.

Passo 7: Os Fundos Foram Consolidados em Vários Endereços

Os ativos roubados foram encaminhados através de várias carteiras controladas pelos atacantes.

Por que isto é importante:

• Sugere coordenação ou scripting.

• Reduz a dependência de um único endereço.

• Corresponde ao comportamento observado em explorações organizadas.

Estimativas baseadas em endereços rastreados sugerem que milhões de dólares foram movidos, embora os totais variem.

Passo 8: O Domínio Ficou Inativo

Após o aumento da atenção:

• O domínio suspeito parou de responder.

• Não houve explicação pública imediatamente.

• As capturas de ecrã e as provas em cache tornaram-se cruciais.

Isto é consistente com atacantes a destruir infraestrutura uma vez expostos.

Passo 9: O Reconhecimento Oficial Veio Mais Tarde

A Trust Wallet confirmou posteriormente:

• Um incidente de segurança afetou uma versão específica da extensão do navegador.

• Os utilizadores móveis não foram afetados.

• Os utilizadores devem atualizar ou desativar a extensão.

No entanto, nenhuma análise técnica completa foi dada imediatamente para explicar:

• Por que o domínio existia.

• Se as frases-semente foram expostas.

• Se isto foi um problema interno, de terceiros ou externo.

Esta lacuna alimentou especulações contínuas.

O Que Está Confirmado

• Uma atualização da extensão do navegador introduziu novo comportamento de saída.

• Os utilizadores perderam fundos pouco depois de importar frases-semente.

• O incidente foi limitado a uma versão específica.

• A Trust Wallet reconheceu um problema de segurança.

O Que É Fortemente Suspeito

• Um problema de cadeia de fornecimento ou injeção de código malicioso.

• Frases-semente ou capacidade de assinatura sendo expostas.

• A lógica de análise sendo mal utilizada ou armada.

O Que Ainda É Desconhecido

• Se o código era intencionalmente malicioso ou comprometido a montante.

• Quantos utilizadores foram afetados.

• Se algum outro dado foi obtido.

• Atribuição exata dos atacantes.

Por Que Este Incidente É Importante

Isto não foi phishing típico.

Destaca:

• O perigo das extensões de navegador.

• O risco de confiar cegamente nas atualizações.

• Como o código de análise pode ser mal utilizado.

• Por que o manuseamento de frases-semente é o momento mais crítico na segurança da carteira.

Mesmo uma vulnerabilidade de curta duração pode ter consequências graves.