W samym środku świąt Bożego Narodzenia, gdy większość z nas cieszyła się chwilami z rodziną, świat kryptowalut wstrząsnął poważny incydent bezpieczeństwa. Użytkownicy popularnego portfela Trust Wallet stali się ofiarami wyrafinowanego ataku hakerskiego, który doprowadził do strat przekraczających 7 milionów dolarów. Co dokładnie się wydarzyło, jak hakerzy dokonali tego wyczynu i co zrobić, by chronić swoje fundusze? Przyjrzyjmy się bliżej tej szokującej historii, która przypomina, jak kruche może być bezpieczeństwo w cyfrowym świecie.
Początek dramatu: Alarm na platformie X
Wszystko zaczęło się 25 grudnia 2025 roku, gdy detektyw on-chain ZachXBT podniósł alarm na platformie X (dawniej Twitter), informując o masowych wyciekach środków z adresów portfeli Trust Wallet. W ciągu zaledwie kilku godzin liczne konta użytkowników zgłaszały, że ich kryptowaluty znikają w tajemniczych transakcjach. Firma Trust Wallet, należąca do giganta Binance, szybko zareagowała, publikując oficjalne oświadczenie. Okazało się, że problem dotyczy wyłącznie wersji 2.68 rozszerzenia przeglądarkowego dla Chrome – mobilne aplikacje i inne wersje pozostały nietknięte.
Jak doszło do ataku? Złośliwy kod w aktualizacji
Analizy przeprowadzone przez ekspertów, w tym firmę SlowMist i PeckShield, ujawniły, że hakerzy wstrzyknęli złośliwy kod do aktualizacji rozszerzenia. W pliku o nazwie 4482.js, który udawał narzędzie do analityki, ukryto mechanizm kradnący frazy seed (klucze odzyskiwania) użytkowników. Gdy portfel był odblokowany, dane były wysyłane na fałszywą domenę api.metrics-trustwallet.com, zarejestrowaną zaledwie kilka dni wcześniej. To pozwoliło atakującym na autoryzację nieuprawnionych transferów i opróżnienie portfeli.
Równolegle uruchomiono kampanię phishingową poprzez fałszywe strony, takie jak fix-trustwallet.com, które podszywały się pod oficjalne wsparcie Trust Wallet i nakłaniały użytkowników do podania fraz seed pod pretekstem „naprawy luki”. Eksperci podkreślają, że kod był na tyle prosty i oczywisty, iż powinien zostać wykryty przez podstawowe audyty – brak zewnętrznych URL-i czy podejrzanych domen powinien alarmować zespół deweloperski.
Skala strat i ofiary
Według wstępnych szacunków, straty wyniosły ponad 7 milionów dolarów, a dotkniętych zostało setki portfeli. Użytkownicy zgłaszali natychmiastowe opróżnianie kont po zwykłej autoryzacji transakcji. Co gorsza, incydent przypomniał o podobnych problemach z przeszłości – jeden z poszkodowanych wspominał stratę 7 tysięcy dolarów w 2023 roku, której nikt nie zrekompensował. Tym razem jednak reakcja była szybsza, choć dla wielu świąteczny okres zamienił się w koszmar finansowy.
Reakcja Trust Wallet i CZ Binance
Trust Wallet natychmiast wydało nową wersję 2.69 i zaleciło użytkownikom wyłączenie rozszerzenia, aż do aktualizacji poprzez oficjalny Chrome Web Store. Firma zapewniła, że zespół pracuje nad rozwiązaniem i kontaktuje się z ofiarami. Changpeng Zhao (CZ), założyciel Binance i właściciel Trust Wallet, osobiście skomentował sprawę na X: „Do tej pory 7 milionów dolarów dotkniętych hackiem. Trust Wallet pokryje. Fundusze użytkowników są SAFU”. CZ zasugerował również, że za atakiem może stać insider – ktoś z wewnątrz zespołu, kto umożliwił przesłanie złośliwej wersji do sklepu Google.
Podejrzenia insidera: Czy to zdrada z wewnątrz?
Wielu ekspertów i użytkowników wskazuje na możliwość udziału osoby z zespołu Trust Wallet. Kod był zbyt prosty do przeoczenia, a domena phishingowa zarejestrowana niedawno budzi wątpliwości co do braku audytów automatycznych. CZ potwierdził, że zespół bada, jak hakerzy zdołali przesłać nową wersję, i przyznał: „Najprawdopodobniej [insider]”. To rodzi pytania o procedury bezpieczeństwa w firmie obsługującej miliony użytkowników.
Jak się chronić? Porady dla kryptoinwestorów
Ten incydent to bolesne przypomnienie o ryzykach w świecie krypto. Oto kluczowe kroki, by uniknąć podobnych problemów:
- Aktualizuj natychmiast: Jeśli używasz Trust Wallet na Chrome, sprawdź wersję i zaktualizuj do 2.69 lub nowszej. Wyłącz rozszerzenie do czasu potwierdzenia bezpieczeństwa.
- Nigdy nie podawaj fraz seed: Żadna oficjalna strona nie poprosi o twoje klucze odzyskiwania. Unikaj podejrzanych linków i phishingu.
- Używaj hardware walletów: Rozważ przejście na fizyczne urządzenia jak Ledger czy Trezor dla większego bezpieczeństwa.
- Monitoruj transakcje: Korzystaj z narzędzi jak Etherscan czy BscScan, by śledzić ruchy na koncie.
- Diversyfikuj: Nie trzymaj wszystkich środków w jednym portfelu – podziel je na kilka.