Drošības plaisa Trust Wallet pārlūka paplašinājumā izraisījusi masveida zādzības

Klienti, kuri izmanto kriptovalūtu maksājumu pakalpojumu Trust Wallet, piedzīvojuši ievērojamus zaudējumus kiberuzbrukuma rezultātā. Aizdomās par drošības plaisu vienā no jaunākajiem atjauninājumiem, kopējā aplaucētā summa sasniegusi aptuveni 7 miljonus ASV dolāru, skarot simtiem lietotāju kontu.

Problēmas sākušās pēc konkrētas Trust Wallet pārlūka paplašinājuma versijas instalēšanas priekš Google Chrome. Pirmie signāli par incidentu parādījās pēc daudzu lietotāju sūdzībām par līdzekļu tūlītēju pazušanu pēc pieteikšanās vai seed frāzes (sēklas frāzes) importa. Pārskaitījumi notikuši uz nezināmiem ļaundaru adresēm.

Blockchain drošības analītiķis ZachXBT norādījis, ka naudas izņemšana notikusi gandrīz vienlaicīgi un sakritusi ar nesen veikto paplašinājuma atjaunināšanu. Tas radījis aizdomas par kompromitētu laidienu vai piegādes ķēdes uzbrukumu (supply-chain attack), kas izplatījies pēc 24. decembra atjauninājuma. Uz ziņojuma publicēšanas brīdi precīzs uzbrukuma mehānisms vēl nebija pilnībā noskaidrots.

Trust Wallet apstiprina incidentu un sniedz ieteikumus lietotājiem

Kompānija Trust Wallet ir apstiprinājusi notikušo incidentu, norādot, ka drošības plaisa skārusi tikai un vienīgi pārlūka paplašinājuma versiju 2.68. Uzņēmums stingri rekomendē lietotājiem nekavējoties atslēgt minēto versiju un atjaunināt to uz versiju 2.69, izmantojot oficiālo Chrome Web Store.

Trust Wallet komanda uzsvērusi, ka mobilā lietotne palikusi droša un citas pārlūka paplašinājumu versijas nav tikušas kompromitētas. Lietotājiem, kuri vēl nav paspējuši veikt atjaunināšanu, ieteikts pagaidām neatvērt paplašinājumu, lai izvairītos no turpmākiem zaudējumiem.

Binance līdzdibinātājs sola kompensēt zaudējumus

Trust Wallet īpašnieks un Binance līdzdibinātājs Čanpens Čao (Changpeng Zhao) ir apstiprinājis kiberuzbrukuma faktu un solījis, ka kompānija pilnībā kompensēs visus zaudējumus cietušajiem lietotājiem. Pēc viņa teiktā, kopējais zaudējumu apjoms ir aptuveni 7 miljoni ASV dolāru, bet pārējie lietotāju līdzekļi joprojām ir drošībā.

Trust Wallet komanda turpina iekšējo izmeklēšanu, lai noskaidrotu, kā ļaundariem izdevās izplatīt problemātisko paplašinājuma versiju.

Lielāks kiberuzbrukumu apjoms kriptovalūtu nozarē

Šis incidents notiek uz plašāka kiberuzbrukumu un pikšķerēšanas (phishing) uzbrukumu pieauguma fona kriptovalūtu sektorā. Saskaņā ar kompānijas CertiK datiem, no gada sākuma līdz decembra sākumam kopējie zaudējumi no kiberuzbrukumiem nozarē sasniedza gandrīz 3,4 miljardus ASV dolāru, kas pārsniedz iepriekšējā gada rādītājus.

Iepriekš tika ziņots arī par gadījumu, kad viens lietotājs zaudēja 50 miljonus ASV dolāru, pārskaitot līdzekļus uz viltotu adresi. Gadījums ar Trust Wallet ir kārtējais apliecinājums riskiem, kas saistīti ar infrastruktūras kriptoaktuālu atjauninājumiem, pat no lieliem un pazīstamiem tirgus dalībniekiem.