Trust Wallet漏洞利用計劃提前數週制定，用戶將獲得全額賠償

• 2025年12月26日
• |
• 17:01

與 trust 錢包 相關的安全漏洞已被追溯到資金實際被盜前數週，揭示了這是一起緩慢醞釀的攻擊，直到聖誕節假期期間達到最後階段才浮出水面。

攻擊者似乎並沒有利用突然出現的漏洞，而是耐心地將自己部署在了系統內部。 錢包

一種能夠安全地保存用戶公鑰和私鑰，同時允許與區塊鍊網絡進行交互的設備或應用程序。

• Trust Wallet漏洞利用事件是提前數周策劃的，並在聖誕節當天觸發。
• 數百名桌面錢包用戶約有700萬美元被盜。
• 此次攻擊利用嵌入在被入侵的瀏覽器擴展程序中的後門程序進行攻擊。

更新成為了切入點

此次事件的焦點在於 Trust WALlet 的 Chrome 瀏覽器擴展程序 2.68 版本。 使用該版本的用戶在不知情的情況下與被篡改的代碼進行了交互，而移動錢包則未受影響。隨後，一旦檢測到可疑活動，便敦促用戶立即升級到新版本。

這起案件的特殊之處在於發生的時間。 雖然資金是在聖誕節當天被耗盡的，區塊鏈

區塊鏈本質上是一個由區塊組成的數字鏈，但並非傳統意義上的區塊鏈。 這些“區塊”由信息比特構成，當我們提到“區塊”和“鏈”時，指的是存儲在公共數據庫中的數字數據。 區塊鏈提供了一種創新的方式，可以自動且安全地傳輸信息。 交易始於一方創建區塊，然後由網絡中成千上萬甚至數百萬台計算機進行驗證。 這個去中心化的金融交易賬本不斷發展演進，持續添加新的數據。

區塊鏈之所以具有防篡改性，是因為每條記錄都是獨一無二的，擁有各自獨立的歷史記錄。 要篡改一條記錄，就需要更改包含數百萬條記錄的整個區塊鏈。 區塊鏈基於三大核心原則：去中心化、透明性和不可篡改性。

這是一個後門，而不是暴力破解。

根據 SloWMist 分享的調查結果，該擴展程序中嵌入的惡意代碼不僅允許未經授權的數據傳輸，還會收集用戶數據並悄悄地將其發送到攻擊者控制的外部服務器。

SlowMist聯合創始人餘賢描述了一項多步驟操作：12月就開始準備，聖誕節前幾天植入後門，並在環境準備就緒後執行攻擊。 這種精細的順序表明他們對擴展程序的架構非常了解。

數百個錢包，一次有組織的洗劫

區塊鏈調查員 ZachXBT 發現了數百個受影響的錢包，資金轉移迅速且模式相似。 交易的一致性進一步證實了這並非用戶錯誤或其他原因造成的。 網絡釣魚

一種詐騙手段，旨在通過冒充你信任的人來誘騙你洩露用戶名、密碼或其他敏感信息。

雖然 700 萬美元的損失與歷史上一些加密貨幣黑客攻擊相比並不算大，但它之所以引人注目，是因為它針對的是個人錢包而不是交易所，而交易所作為攻擊面正在不斷擴大。

幣安承諾賠償

Trust Wallet隸屬於幣安，趙長鵬確認受影響用戶將獲得全額賠償。 趙長鵬承認此次事件的嚴重性，並表示損失將得到彌補，從而最大限度地減少對受害者的直接經濟影響。

然而，這一保證並未能消除人們對被入侵的擴展程序最初是如何接觸到用戶的擔憂。

內部人員獲取信息受到審查

多位業內人士對此次漏洞利用的性質表示擔憂。 攻擊者能夠推送修改後的擴展程序版本，並且對代碼庫非常熟悉，這讓一些人懷疑其中有內部人員參與。

區塊鏈顧問安迪·連公開質疑，如果沒有內部人員知情，這種攻擊是否可能發生。 趙長鵬本人也表達了類似的觀點，公開表示此次攻擊“極有可能”是內部人員所為。

對錢包用戶的更廣泛警告

Trust Wallet事件發生之際，加密貨幣安全威脅正經歷著更廣泛的轉變。 Chainalysis預測，如果排除規模異常巨大的Bybit黑客事件，到2025年，個人錢包被盜造成的損失將佔加密貨幣總損失的三分之一以上。

隨著交易所加強防禦，攻擊者越來越多地將目標轉向瀏覽器擴展程序和個人錢包，因為這些地方的更新機制和用戶信任更容易被利用。

除了700萬美元的損失之外，還有其他損失。

雖然賠償可能結束了財務上的損失，但此次事件仍留下一些更深層次的問題懸而未決。 被入侵的代碼是如何部署的？ 誰有權訪問擴展程序管道？ 其他錢包提供商中又有多少類似的風險？

目前，信託基金Wallet

一種能夠安全地保存用戶公鑰和私鑰，同時允許與區塊鍊網絡進行交互的設備或應用程序。