Рождественская афера: как обокрали пользователей Trust Wallet

26 декабря появилась информация о том, что у ряда пользователей Trust Wallet были украдены средства. Спустя короткое время сама компания подтвердила проблему и сообщила, что в версии 2.68 браузерного расширения Trust Wallet была обнаружена серьезная уязвимость безопасности. Всем, у кого была установлена эта версия, рекомендовали немедленно отключить ее и перейти на более новую. GetBlock AML Research объясняет, как злоумышленникам удалось совершить атаку на популярный криптокошелек.

Как производилась атака

Суть проблемы заключалась в том, что в указанную версию программы был тайно добавлен вредоносный код. Этот код незаметно получал доступ ко всем кошелькам, сохраненным в расширении, и извлекал из них секретные слова — так называемую seed-фразу. Эти слова являются полным «ключом» от кошелька: зная их, можно без ограничений управлять деньгами. В момент, когда пользователь открывал кошелек и вводил пароль, программа расшифровывала секретные данные и отправляла их на сервер злоумышленников. Внешне это никак не проявлялось, и пользователь не видел ни предупреждений, ни запросов на подтверждение.

Получив seed-фразу, злоумышленники полностью брали кошелек под свой контроль и переводили средства на другие адреса. Деньги быстро перемещались между разными сервисами и сетями, чтобы скрыть следы.

Атака была подготовлена заранее. Сервер, на который отправлялись украденные данные, появился еще в начале декабря, а первые признаки краж совпали по времени с выходом проблемной версии расширения. Это указывает на то, что произошедшее не было случайной ошибкой или техническим сбоем. Речь идет о целенаправленном и профессионально организованном вмешательстве в код самой программы, а не о заражении через сторонние дополнения.

Куда пропали средства пользователей

По подсчетам разработчиков Trust Wallet, хакерская атака затронула 2596 кошельков и нанесла ущерб в размере $7 млн. Команда Trust Wallet пообещала компенсировать потери пользователей от взлома. Украденные средства сразу же были направлены на централизованные биржи (KuCoin) и обменники (ChangeNOW и FixedFloat).

Схема отмывания похищенных средств. Визуализация: MistTrack.

Главный вывод из этой ситуации заключается в том, что угроза находилась внутри официального обновления, а не в действиях пользователей. Поэтому обычное обновление программы не всегда гарантирует безопасность. Если браузерное расширение Trust Wallet когда-либо устанавливалось, такой кошелек больше нельзя считать полностью надежным. Даже если средства пока остаются на месте, существует риск, что доступ к ним уже был получен третьими лицами. В подобных случаях рекомендуется считать старый кошелек скомпрометированным и как можно быстрее перенести средства в новый, созданный в другом приложении, после чего удалить уязвимое расширение.