ZachXBT cảnh báo nghi vấn sự cố với tiện ích mở rộng Trust Wallet khi người dùng báo cáo tài khoản bị rút sạch tiền

Các lo ngại về bảo mật đã xuất hiện xung quanh tiện ích mở rộng trình duyệt Trust Wallet vào ngày 25 tháng 12, sau khi nhà điều tra blockchain ZachXBT phát hiện hoạt động đáng ngờ có khả năng liên quan đến bản cập nhật gần đây, khiến các nhà phát triển và tài khoản tập trung vào bảo mật đưa ra cảnh báo.

Theo các bài đăng lan truyền trên X, vấn đề có thể bắt nguồn từ một sự xâm phạm chuỗi cung ứng bị nghi ngờ được giới thiệu trong bản cập nhật tiện ích mở rộng trình duyệt ngày 24 tháng 12. 

Mã mới được thêm vào trong tiện ích mở rộng có thể âm thầm đánh cắp dữ liệu Ví nhạy cảm khi người dùng nhập cụm từ khoá. Các tuyên bố cho rằng điều này đã dẫn đến việc rút cạn Ví ngay lập tức.

Cáo buộc về mã độc hại Trust Wallet và khiếu nại đánh cắp dữ liệu

Các nhà phát triển kiểm tra tiện ích mở rộng cáo buộc rằng một tệp JavaScript được thêm vào trong bản cập nhật chứa logic ngụy trang như phân tích. 

Mã được cho là kích hoạt cụ thể khi cụm từ khoá được nhập. Sau đó, nó âm thầm truyền dữ liệu liên quan đến Ví tới một tên miền bên ngoài được thiết kế để giống với cơ sở hạ tầng chính thức của Trust Wallet.

Tên miền được đề cập trong các báo cáo được cho là chỉ mới được đăng ký vài ngày trước và kể từ đó đã ngừng hoạt động. 

Các nhà nghiên cứu lập luận rằng việc tạo gần đây và thời điểm cập nhật tiện ích mở rộng làm dấy lên lo ngại về một cuộc tấn công chuỗi cung ứng có phối hợp hơn là lừa đảo phía người dùng.

Người dùng báo cáo Ví bị rút cạn sau khi nhập seed

Nhiều người dùng đã báo cáo Ví bị rút cạn ngay sau khi nhập cụm từ khoá vào tiện ích mở rộng trình duyệt Trust Wallet. 

Ước tính được chia sẻ công khai cho thấy hơn 2 triệu đô la có thể đã bị mất. Mặc dù những con số này chưa được xác minh độc lập.

Các nhà phân tích cho biết rằng tiền đã được chuyển qua nhiều địa chỉ, một mô hình thường liên quan đến khai thác tự động hơn là lỗi người dùng biệt lập.

Phạm vi dường như chỉ giới hạn ở tiện ích mở rộng trình duyệt

Ở giai đoạn này, không có dấu hiệu cho thấy các App di động của Trust Wallet bị ảnh hưởng. 

Các cảnh báo lan truyền trực tuyến tập trung cụ thể vào tiện ích mở rộng trình duyệt. Đây là nơi các cơ chế cập nhật và các phụ thuộc bên thứ ba có nguy cơ chuỗi cung ứng cao hơn.

Người dùng được khuyên không nên nhập cụm từ khoá vào tiện ích mở rộng trình duyệt Trust Wallet cho đến khi có làm rõ thêm.

Chưa có phản hồi chính thức từ Trust Wallet

Tính đến thời điểm viết bài, Trust Wallet chưa đưa ra bất kỳ phản hồi công khai, làm rõ hoặc tư vấn bảo mật nào giải quyết các cáo buộc. 

Không có xác nhận hoặc phủ nhận các tuyên bố, cũng như không có thông báo nào về tiện ích mở rộng, rollback hoặc bản vá khẩn cấp.

Cuộc điều tra đang tiếp diễn

Các nhà nghiên cứu đã nhấn mạnh rằng tình hình vẫn đang được điều tra tích cực. Không nên đưa ra kết luận cho đến khi mã tiện ích mở rộng và hoạt động on-chain liên quan đã được xem xét đầy đủ.

Nếu được xác nhận, sự cố sẽ đại diện cho một sự xâm phạm chuỗi cung ứng nghiêm trọng.

Đây là một loại tấn công khác biệt đáng kể so với lừa đảo hoặc sai lầm phía người dùng. Ngoài ra, trong lịch sử, nó đã dẫn đến tổn thất nhanh chóng, quy mô lớn trên toàn hệ sinh thái tiền mã hoá.

Suy nghĩ cuối cùng

• Các cáo buộc chỉ ra một nguy cơ chuỗi cung ứng có khả năng nghiêm trọng ảnh hưởng đến các tiện ích mở rộng Ví, nhấn mạnh cách các bản cập nhật mã có thể trở thành một vectơ tấn công quan trọng nếu bị xâm phạm.
• Với việc chưa có phản hồi từ Trust Wallet, người dùng và các nhà nghiên cứu chỉ còn cách dựa vào cuộc điều tra độc lập khi sự giám sát xung quanh sự cố tiếp tục.