Trong kỳ nghỉ lễ Giáng sinh gần đây, Trust Wallet, ví không lưu ký được sử dụng rộng rãi, đã xác nhận một cuộc tấn công chuỗi cung ứng nghiêm trọng. Các báo cáo chính thức đã xác minh rằng sự vi phạm an ninh đã dẫn đến khoảng 7 triệu đô la trong những tổn thất, ảnh hưởng trực tiếp đến 2.596 ví địa chỉ.
Dù sự việc nghiêm trọng, ban lãnh đạo Trust Wallet và đồng sáng lập Binance Changpeng Zhao (CZ) đã đưa ra cam kết rõ ràng: Trust Wallet sẽ bồi thường cho tất cả các khoản mất mát đã được xác minh, đảm bảo rằng tiền của người dùng vẫn "SAFU."
-
Phân tích sự cố: Cách vụ khai thác 7 triệu USD xảy ra
Nguyên nhân gốc rễ của sự vi phạm đã được truy tìm đến Phần mở rộng trình duyệt Chrome Trust Wallet phiên bản 2.68.
-
Vector tấn công: Các tin tặc đã tìm cách xâm nhập vào kênh phân phối, có thể thông qua một khóa API Chrome Web Store bị rò rỉ, để cài đặt một bản cập nhật độc hại.
-
Chi tiết kỹ thuật: Các công ty an ninh như SlowMist đã xác định được rằng các tin tặc đã cấy một cửa sau vào mã mở rộng. Kịch bản độc hại này nhắm vào các cụm từ nhớ và khóa riêng, đánh cắp dữ liệu nhạy cảm sang một máy chủ do tin tặc kiểm soát bằng cách sử dụng thư viện phân tích posthog-js hợp pháp làm lớp che giấu.
-
Phạm vi ảnh hưởng: Lỗ hổng rất cụ thể, chỉ ảnh hưởng đến người dùng máy tính để bàn đã sử dụng hoặc đăng nhập vào phần mở rộng v2.68 từ ngày 24 tháng 12 đến ngày 26 tháng 12 năm 2025Người dùng ứng dụng di động và những người dùng trên các phiên bản trình duyệt khác không bị ảnh hưởng.
-
Kế hoạch bồi thường của Trust Wallet: Xử lý 2.596 yêu cầu hợp lệ
CEO Trust Wallet Eowyn Chen gần đây đã cung cấp bản cập nhật về lộ trình hoàn tiền. Trong khi 2.596 địa chỉ ví bị ảnh hưởng đã được xác định, đội ngũ đã nhận được gần 5.000 yêu cầu bồi thường, trong đó nhiều yêu cầu dường như là trùng lặp hoặc là những nỗ lực gian lận nhằm lợi dụng quy trình hoàn tiền.
Hướng dẫn cho Người dùng Bị ảnh hưởng để Yêu cầu Hoàn tiền:
-
Giai đoạn xác minh: Đội ngũ hiện đang thực hiện điều tra giám định trên chuỗi để xác minh mọi yêu cầu đối chiếu với danh sách các địa chỉ bị xâm phạm đã xác định.
-
Cổng Nộp Bài: Các nạn nhân được hướng dẫn sử dụng chính thức Biểu mẫu Hỗ trợ Trust Wallet để gửi thông tin của họ.
-
Thông tin cần thiết: Bạn sẽ cần cung cấp địa chỉ email liên lạc, địa chỉ ví bị xâm phạm, địa chỉ đích của người tấn công và các mã băm giao dịch (TXIDs) cụ thể của các khoản chuyển tiền không được phép.
-
Biện pháp bảo mật thiết yếu cho người dùng Trust Wallet
Trong bối cảnh sự cố an ninh gần đây này, tất cả người dùng nên thực hiện các biện pháp ngay lập tức để bảo vệ tài sản số của họ:
-
Cập nhật ngay lập tức: Hãy đảm bảo rằng phần mở rộng của bạn đã được cập nhật đến v2.69 hoặc cao hơn. Phiên bản 2.68 nên được tắt và xóa ngay lập tức.
-
Di dời Quỹ: Các chuyên gia an ninh khuyến nghị bất kỳ ai đã tương tác với phiên bản v2.68 bị xâm phạm nên tạo một địa chỉ ví hoàn toàn mới (có cụm từ khôi phục mới) và chuyển bất kỳ số tiền còn lại nào đến đó.
-
Hãy cảnh giác với các mối lừa đảo: Hãy cẩn trọng với các trang web giả mạo "bồi thường" hoặc tài khoản Telegram. Trust Wallet sẽ không bao giờ yêu cầu cụm từ khôi phục hoặc khóa bí mật của bạn để xử lý việc hoàn tiền.
-
Tác động của ngành: Sự kiên cường của ví phi lưu ký
Vụ việc này làm nổi bật một lỗ hổng quan trọng trong việc phân phối các công cụ phi giám hộ. Mặc dù ví bản thân nó là phi tập trung, "chuỗi cung ứng" (như Chrome Web Store) vẫn là một điểm thất bại tập trung. Tuy nhiên, phản ứng nhanh chóng và cam kết hoàn tiền đầy đủ của Trust Wallet đã thiết lập một tiêu chuẩn ngành mới cho trách nhiệm của nền tảng.
Khi chúng ta chuyển sang một kỷ nguyên được quản lý chặt chẽ hơn, khả năng của một nhà cung cấp trong việc cung cấp một cam kết bồi thường đầy đủ sau một lỗ hổng lớn có thể trở thành yếu tố then chốt trong việc duy trì sự tin tưởng của người dùng và việc chấp nhận dài hạn.
Tóm tắt:
Sự tiếp cận chủ động của Trust Wallet đối với 2.596 ví bị ảnh hưởng đã làm dịu đáng kể cộng đồng. Bằng cách xác định chính xác lỗ hổng bảo mật trong tiện ích mở rộng trình duyệt Trust Wallet và cung cấp lộ trình phục hồi rõ ràng, nền tảng đang nỗ lực để phục hồi danh tiếng của mình như một cổng vào hàng đầu cho Web3.