تم اختراق امتداد متصفح Trust Wallet الإصدار 2.68: سُرقت 8.5 مليون دولار، وتأثرت 2,520 محفظة وخطة التعويض

المصدر: CryptoTale العنوان الأصلي: تحديث حول مشكلة في إضافة المتصفح v2.68 من Trust Wallet بعد الاختراق الرابط الأصلي: https://cryptotale.org/trust-wallet-issues-update-on-browser-extension-v2-68-hack/ أصدرت Trust Wallet تحديثًا تفصيليًا بعد أن تعرضت محافظ المستخدمين للاختراق عبر إضافة متصفح خبيثة. الحادث تضمن إصدار غير مصرح به من إضافة المتصفح Trust Wallet v2.68 على متجر Chrome Web بين 24 و26 ديسمبر 2025، بعد أن استغل المهاجمون بيانات اعتماد نشر مسربة.

ما أكدته Trust Wallet

وفقًا لـ Trust Wallet، قام المهاجمون بنشر نسخة معدلة من إضافة المتصفح v2.68 تجاوزت عمليات الموافقة والمراجعة الداخلية. استخدم المهاجم مفتاح API مسرب من Chrome Web Store لنشر الإضافة خارجيًا.

سمحت الإضافة الخبيثة بالوصول إلى بيانات المحافظ الحساسة، مما مكن المهاجمين من تنفيذ معاملات دون إذن المستخدم بمجرد فتح المحافظ. وأكدت Trust Wallet أن الحادث أثر فقط على المستخدمين الذين قاموا بتسجيل الدخول خلال الفترة المحددة.

وأعربت الشركة عن ثقتها العالية أن الحادث مرتبط بهجوم Sha1-Hulud في نوفمبر 2025—وهو خرق في سلسلة التوريد على مستوى الصناعة أدى إلى اختراق حزم npm عبر قطاعات متعددة. خلال ذلك الحادث، تم كشف أسرار مطور Trust Wallet على GitHub، بما في ذلك الوصول إلى شفرة المصدر الخاصة بالإضافة وبيانات الاعتماد للنشر. استخدم المهاجمون هذا الوصول لإعداد نسخة معدلة استنادًا إلى شفرة الإضافة السابقة التي كانت تشير إلى نطاقات يسيطر عليها المهاجمون، والتي كانت مصممة لجمع بيانات المحافظ.

نطاق التأثير

تأثر فقط مستخدمو إضافة المتصفح v2.68 الذين قاموا بتسجيل الدخول بين 24 و26 ديسمبر. المستخدمون الذين سجلوا الدخول بعد 26 ديسمبر الساعة 11:00 بالتوقيت العالمي الموحد لم يتأثروا. لم يتأثر مستخدمو التطبيق المحمول وإصدارات إضافات المتصفح الأخرى.

حددت Trust Wallet أن 2,520 عنوان محفظة تم سحب أصول منها خلال الحادث، بإجمالي أصول مسروقة يقارب 8.5 مليون دولار عبر عدة سلاسل كتل. ربط المحققون تلك الخسائر بـ 17 عنوان محفظة يسيطر عليها المهاجم. ومع ذلك، قام المهاجمون أيضًا بسحب أصول من غير مستخدمي Trust Wallet، ويواصل المحققون تتبع محافظ إضافية خارج القائمة المؤكدة.

خطة الاستجابة والتعويض

قامت Trust Wallet بإلغاء إصدار الإضافة وإصدار نسخة نظيفة تحمل الرقم v2.69، مع تعطيل بيانات الاعتماد للنشر وتقييد الوصول إلى النشر. شمل الرد التنسيق مع شركاء تحليلات البلوكشين والباحثين الذين ساعدوا في تحديد نشاط محافظ مشبوهة وتعطيل بنية المهاجم.

أكدت Trust Wallet أنها ستقوم طواعية بتعويض المستخدمين المتضررين. حددت الشركة 2,520 محفظة موثقة مؤهلة للتعويض. ومع ذلك، تلقت Trust Wallet أكثر من 5,000 مطالبة، مما أثار مخاوف التحقق. ونتيجة لذلك، شددت الشركة على التحقق الصارم من الملكية باستخدام عدة نقاط بيانات ومراجعات يدوية للحالات لمنع الاحتيال.

أعلنت Trust Wallet عن تطوير أداة تحقق في إضافة المتصفح v2.70 لتوفير مصادقة إضافية للمستخدمين المتضررين. نُصح المستخدمون المتأثرون بنقل أموالهم إلى محافظ جديدة. كما تضمن التحديث تحسينات أمنية مستمرة تشمل تقييد الوصول، وزيادة المراقبة، وتدوير بيانات الاعتماد. لا تزال التحقيقات جارية مع استمرار التحديثات عبر القنوات الرسمية.