Nhóm Hacker Trung Quốc Rò Rỉ Hoạt Động Đánh Cắp 7 Triệu Đô La Tiền Mã Hóa Nhắm Vào Chuỗi Cung Ứng Ví

Một câu chuyện trộm cắp crypto qua chuỗi cung ứng ví được báo cáo có vẻ bắt nguồn từ một vụ xâm phạm thực sự tiện ích mở rộng trình duyệt Trust Wallet, nhưng bằng chứng công khai mạnh nhất không xác nhận một nhóm hacker liên kết với Trung Quốc hoặc một sự kiện rò rỉ riêng biệt. Điều được xác minh là một bản phát hành tiện ích mở rộng Trust Wallet độc hại đã khiến người dùng phơi nhiễm trong một khoảng thời gian ngắn ngày lễ, cho thấy cách một đường dẫn cập nhật phần mềm đáng tin cậy có thể biến thành kênh trộm cắp.

Thông báo bảo mật của Trust Wallet và bản cập nhật cộng đồng sau đó cho thấy phiên bản 2.68 tiện ích mở rộng trình duyệt không được ủy quyền đã được xuất bản lên Chrome Web Store vào ngày 24 tháng 12 năm 2025. Công ty cho biết chỉ những người dùng đã mở và đăng nhập vào phiên bản đó từ ngày 24 tháng 12 đến ngày 26 tháng 12 mới bị phơi nhiễm.

Điều đó quan trọng vì một cuộc tấn công chuỗi cung ứng nhắm vào phần mềm mà mọi người đã tin tưởng, thay vì lừa họ bằng email giả hoặc liên kết xấu. Nói một cách đơn giản, nó gần giống với việc cập nhật ứng dụng ngân hàng bị giả mạo hơn là một vụ lừa đảo lừa đảo cổ điển.

Những gì thực sự được xác nhận về hoạt động trộm cắp

Trust Wallet cho biết đã xác định 2,520 địa chỉ ví bị ảnh hưởng và khoảng 8,5 triệu đô la tài sản bị tác động liên kết với 17 địa chỉ do kẻ tấn công kiểm soát. Con số đó cao hơn khoảng 7 triệu đô la được trích dẫn trong một số báo cáo đầu, có nghĩa là ước tính thiệt hại công khai cuối cùng vẫn phụ thuộc vào nguồn và ngày nào đang được sử dụng.

Phân tích sự cố của SlowMist cho biết mã độc đã thu thập cụm từ khoá, các từ phục hồi bí mật kiểm soát một ví crypto, sau khi người dùng mở khóa tiện ích mở rộng. Công ty bảo mật ước tính tổn thất ban đầu khoảng 33 BTC cộng với khoảng 3 triệu đô la trên mạng Ethereum và Layer-2, đưa tổng ban đầu lên gần 6 triệu đô la tại thời điểm xuất bản.

SlowMist cũng nói, "Chúng tôi có lý do chính đáng để tin rằng đây là một cuộc tấn công cấp độ APT chuyên nghiệp." Điều đó chỉ ra một hoạt động có tổ chức cao, nhưng không giống như việc quy kết công khai cho một nhóm liên kết với Trung Quốc, và bộ nguồn có sẵn không đưa ra bước nhảy đó.

Trust Wallet liên kết đường dẫn xuất bản với một khoá API Chrome Web Store bị rò rỉ và các bí mật nhà phát triển GitHub bị lộ gắn với sự cố chuỗi cung ứng Sha1-Hulud tháng 11 năm 2025. Liên kết đó là một trong những chi tiết được xác minh quan trọng nhất vì nó cho thấy sự xâm phạm có thể đã bắt đầu ở nguồn phía trên, trước khi người dùng tải xuống tiện ích mở rộng xấu.

Tại sao các cuộc tấn công chuỗi cung ứng ví khác với các vụ hack ví trực tiếp

Một vụ hack ví trực tiếp thường nhắm vào một người dùng một lúc thông qua lừa đảo, phần mềm độc hại hoặc mật khẩu bị đánh cắp. Một cuộc tấn công chuỗi cung ứng ví nhắm vào nhà cung cấp phần mềm, kênh cập nhật hoặc quy trình phân phối, có thể đặt nhiều người dùng vào rủi ro cùng một lúc.

Đó là lý do tại sao trường hợp này đã thu hút mối quan tâm rộng hơn so với một báo cáo trộm cắp bình thường. Nếu một kẻ xấu có thể đưa mã độc vào danh sách tiện ích mở rộng trình duyệt chính thức, ngay cả những người dùng thận trọng cũng có thể không nhận ra bất cứ điều gì sai cho đến khi tiền đã biến mất.

Ngành công nghiệp crypto rộng lớn hơn đã có lý do để coi đây là một lĩnh vực rủi ro lớn. Báo cáo bảo mật Web3 năm 2025 của CertiK cho biết các cuộc tấn công chuỗi cung ứng là vector tấn công tốn kém nhất trong năm, với khoảng 1,45 tỷ đô la bị mất trên hai sự cố.

Độc giả đã theo dõi các rủi ro cơ sở hạ tầng khác trên coinlineup.com đã thấy cùng một mô hình dưới các hình thức khác nhau, cho dù thông qua căng thẳng vĩ mô trong phạm vi suy thoái Bitcoin gắn với cảnh báo của Moody's hoặc cú sốc đòn bẩy đột ngột trong các sự kiện thanh lý crypto. Chủ đề chung là niềm tin vào hệ thống thị trường quan trọng không kém biểu đồ giá.

Điều này có ý nghĩa gì đối với các nhà cung cấp ví và người dùng thông thường

Đối với các nhà cung cấp ví, sự cố làm tăng áp lực để tăng cường kiểm soát xuất bản app-store, xoay vòng thông tin đăng nhập nhanh chóng và cô lập các bí mật nhà phát triển tích cực hơn. Đối với người dùng, bài học thực tế rất đơn giản: cập nhật từ các thương hiệu đáng tin cậy vẫn cần được xem xét kỹ lưỡng khi xuất hiện lời nhắc bất thường, hành vi tiện ích mở rộng hoặc luồng đăng nhập.

Phản ứng của Trust Wallet tập trung vào hoàn trả và dọn dẹp. Cointelegraph báo cáo rằng Changpeng Zhao, được biết đến nhiều hơn với tên CZ và được biết đến nhiều nhất với tư cách là cựu CEO của Binance, nói rằng Trust Wallet sẽ bồi thường khoảng 7 triệu đô la tổn thất của người dùng sau vụ khai thác ngày Giáng sinh, mặc dù kế toán sau này của Trust Wallet đưa tài sản bị ảnh hưởng gần 8,5 triệu đô la hơn.

Bối cảnh thị trường vẫn còn hỗn hợp. Bản tóm tắt nghiên cứu bao gồm giá giao ngay 0.530464, nhưng không có chuyển động 24 giờ được xác minh, vốn hóa thị trường hoặc dữ liệu khối lượng đủ mạnh để chứng minh phản ứng giao dịch rõ ràng, vì vậy tác động thị trường lớn hơn có vẻ là thiệt hại về niềm tin hơn là một cú sốc giá rõ ràng.

Vấn đề niềm tin đó quan trọng hơn một thương hiệu ví. Khi các công ty crypto mở rộng vào các thị trường mới, bao gồm việc thúc đẩy sản phẩm và cấp phép rộng hơn được mô tả trong câu chuyện mở rộng Brazil của Ripple, người dùng được yêu cầu tin tưởng nhiều phần mềm hơn, nhiều tích hợp hơn và nhiều cơ sở hạ tầng bên thứ ba hơn.

Điểm chính hẹp không phải là việc quy kết Trung Quốc trong tiêu đề gốc đã được chứng minh. Đó là trường hợp Trust Wallet được xác minh cho thấy một sự xâm phạm chuỗi cung ứng ví có thể gây thiệt hại như thế nào và lý do tại sao cả các công ty ví và người nắm giữ hàng ngày cần coi tiện ích mở rộng trình duyệt, cập nhật và cụm từ phục hồi là các điểm bảo mật quan trọng.

Tuyên bố miễn trừ trách nhiệm: Bài viết này chỉ nhằm mục đích cung cấp thông tin và không phải là lời khuyên tài chính.

Tuyên bố miễn trừ trách nhiệm: Bài viết này chỉ nhằm mục đích cung cấp thông tin và không cấu thành lời khuyên tài chính hoặc đầu tư. Thị trường tiền điện tử và tài sản kỹ thuật số có rủi ro đáng kể. Luôn tự nghiên cứu trước khi đưa ra quyết định.