圣诞劫 | Trust Wallet 扩展钱包被黑分析

主要观点总结

Trust Wallet 扩展程序存在安全风险，导致部分用户钱包资金被盗。攻击者通过修改 Trust Wallet 扩展程序的恶意源代码，获取用户助记词并发送到恶意服务器。慢雾安全团队对此事件进行了分析并给出建议。

关键观点总结

关键观点1: Trust Wallet 扩展程序存在安全风险

Trust Wallet 官方确认 2.68 版本存在安全风险，提醒用户立即禁用并升级至 2.69 版本。

关键观点2: 攻击者通过恶意代码获取用户助记词

攻击者通过遍历插件中的钱包，并对每个钱包发起“获取助记词”的请求，使用用户在解锁钱包时输入的 password 或 passkeyPassword 进行解密，并把助记词发送到攻击者的域名上。

关键观点3: 攻击过程复现和证据分析

通过代码跟踪分析，复现了整个攻击过程。慢雾团队通过 BurpSuite 进行的流量分析显示，攻击者将助记词发送到恶意服务器。此外，攻击者似乎熟悉扩展源码，植入了 PostHog JS 采集用户钱包信息。

关键观点4: 资产损失及后续操作建议

Bitcoin 链上被盗资产总数约 33 BTC（价值约 300万 USD），其他链上被盗资产价值也有所统计。慢雾团队建议用户在第一时间断网排查，立即导出私钥/助记词并卸载 Trust Wallet 扩展钱包，并在备份后尽快转移资金。