سرقت 7 میلیون دلاری از کاربران تراست ولت؛ جزئیات هک افزونه کروم

جزئیات حمله و نسخه‌های آسیب‌دیده

مشکل امنیتی شناسایی شده به طور خاص مربوط به نسخه 2.68 افزونه گوگل کروم است که بر اساس اطلاعات فروشگاه Chrome Web Store، حدود 1 میلیون کاربر دارد. به کاربران قویاً توصیه شده است که در سریع‌ترین زمان ممکن افزونه خود را به نسخه 2.69 ارتقا دهند.

تراست ولت تأیید کرده است که حدود 7 میلیون دلار تحت تأثیر این رخداد قرار گرفته است. لازم به ذکر است که کاربران نسخه موبایلی و همچنین تمامی نسخه‌های دیگر افزونه‌ مرورگر کروم تحت تأثیر این مشکل قرار نگرفته‌اند.

این شرکت در عین حال از کاربران خواسته است از تعامل با هرگونه پیام یا ارتباطی که از کانال‌های رسمی Trust Wallet ارسال نشده باشد، خودداری کنند و نسبت به کلاهبرداری‌های احتمالی هوشیار باشند.

نحوه عملکرد و مکانیزم نفوذ

تحقیقات امنیتی نشان می‌دهد که نسخه 2.68 افزونه، حاوی کدی مخرب بوده که برای پیمایش تمامی کیف‌پول‌های ذخیره‌شده در افزونه طراحی شده و عبارت بازیابی (Seed Phrase) را برای هر کیف‌پول فعال می‌کرده است. این عبارت بازیابی رمزگذاری‌شده، با استفاده از پسورد یا passkeyPassword واردشده هنگام باز کردن قفل کیف‌پول، رمزگشایی شده و سپس به سرور مهاجم به نشانی api.metrics-trustwallet[.]com ارسال می‌شده است.

تحلیل‌های تکمیلی حاکی از آن است که مهاجم برای جمع‌آوری اطلاعات کاربران کیف‌پول، از یک کتابخانه تحلیلی متن‌باز زنجیره کامل به نام posthog-js سوءاستفاده کرده و ترافیک را به سرور تحت کنترل خود هدایت کرده است. دامنه مخرب در تاریخ 8 دسامبر 2025 (17 آذر 1404) ثبت شده و نخستین درخواست‌ها از 21 دسامبر 2025 (30 آذر 1404) آغاز شده‌اند.

منشأ این رخداد، تغییر مخرب کد منبع درون کدبیس داخلی افزونه Trust Wallet، به‌ویژه در منطق تحلیلی، بوده و به وابستگی‌های شخص ثالث آلوده‌شده ارتباطی نداشته است.

تفکیک دارایی‌های سرقت شده و مسیر انتقال

دارایی‌های دیجیتال خارج‌شده که صدها قربانی را درگیر کرده است، شامل حجم قابل توجهی از رمزارزهای اصلی بوده است:

• حدود 3 میلیون دلار بیت‌کوین
• بیش از 3 میلیون دلار اتریوم
• 431 دلار سولانا

وجوه سرقت‌شده، از طریق صرافی‌های متمرکز و پل‌های میان‌زنجیره‌ای جابه‌جا شده‌اند. در حالی که حدود 2.8 میلیون دلار از وجوه همچنان در کیف‌پول‌های هکر باقی مانده است، بخش عمده‌ای معادل بیش از 4 میلیون دلار به صرافی‌های متمرکز منتقل شده که جزئیات آن به شرح زیر است:

فرضیه‌های مربوط به عامل حمله

مدیرعامل تراست ولت اعلام کرد که یافته‌های فعلی نشان می‌دهد نسخه مخرب افزونه 2.68 از طریق فرآیند دستی داخلی شرکت منتشر نشده و به احتمال زیاد به‌صورت خارجی و با استفاده از کلید API درز کرده فروشگاه Chrome Web Store منتشر شده و فرآیند بازبینی استاندارد را دور زده است. این نسخه در 24 دسامبر 2025 (3 دی 1404) منتشر شده بود.

در خصوص عامل حمله، تراست ولت این احتمال را مطرح کرده است که عامل یا عوامل یک دولت-ملت در پس این رویداد بوده باشند. همچنین چانگ‌پنگ ژائو، از هم‌بنیان‌گذاران صرافی بایننس (مالک تراست ولت)، اشاره کرد که این سوءاستفاده به احتمال زیاد توسط یک فرد داخلی انجام شده است، هرچند شواهد تکمیلی برای این فرضیه ارائه نشد.

راهنمای جبران خسارت برای قربانیان

تراست ولت در به‌روزرسانی‌های تکمیلی، از کاربران آسیب‌دیده خواست تا برای آغاز فرآیند جبران خسارت، فرمی را در میز پشتیبانی رسمی شرکت تکمیل کنند. این مشکل تنها کاربرانی را تحت تأثیر قرار داده که از افزونه مرورگر کروم نسخه 2.68 استفاده کرده و پیش از 26 دسامبر 2025 (5 دی 1404) وارد حساب خود شده‌اند.

اطلاعاتی که از قربانیان درخواست شده است شامل موارد زیر می‌شود:

• آدرس ایمیل تماس و کشور محل اقامت
• نشانی یا نشانی‌های کیف‌پول به خطر افتاده
• نشانی‌ای که وجوه به آن منتقل شده‌اند
• هش‌های تراکنش متناظر

این شرکت مجدداً هشدار داد که کلاهبرداری‌های متعددی (مانند تبلیغات تلگرام، فرم‌های جعلی و حساب‌های پشتیبانی ساختگی) در جریان است و تأکید کرد که کاربران باید همواره پیوندهای رسمی را بررسی کنند و هرگز عبارت بازیابی خود را به اشتراک نگذارند.