Người sáng lập Trust Wallet, CZ cam kết hoàn trả 7 triệu USD bị mất trong vụ hack ngày Giáng sinh

Trust Wallet đã cam kết bồi thường khoảng 7 triệu USD tiền của khách hàng bị mất trong vụ tấn công vào Ngày Giáng sinh, người sáng lập Changpeng Zhao xác nhận trên nền tảng mạng xã hội X. Vụ vi phạm đột ngột đã làm xáo trộn một phần cộng đồng tiền mã hoá. Tuy nhiên, sự đảm bảo nhanh chóng của Zhao nhằm mục đích xoa dịu lo lắng và khôi phục niềm tin vào ví tự quản lý phổ biến này.

Sự cố xảy ra vào ngày 25 tháng 12, khi một phiên bản bị xâm nhập của tiện ích mở rộng trình duyệt Trust Wallet được sử dụng để rút cạn tài sản từ ví của người dùng. 

Các cuộc điều tra ban đầu cho thấy mã độc đã hoạt động trong phiên bản 2.68 của tiện ích mở rộng, thúc đẩy các giao dịch chuyển khoản trái phép trên nhiều blockchain, bao gồm Ethereum, Bitcoin và Solana. Trong vòng vài giờ, dữ liệu on-chain cho thấy tiền đang bị chuyển đến các địa chỉ không xác định, với tổn thất nhanh chóng đạt gần 7 triệu USD.

Trong một bài đăng trên X vào thứ Sáu, Zhao nhấn mạnh rằng "tiền của người dùng là SAFU", sử dụng từ viết tắt phổ biến trong ngành công nghiệp tiền mã hoá cho Quỹ Tài sản An toàn cho Người dùng. Ông cho biết Trust Wallet sẽ hoàn trả cho người dùng bị ảnh hưởng về những tổn thất của họ. Đội ngũ đang tiếp tục điều tra chính xác cách thức kẻ tấn công có thể tải lên và phân phối tiện ích mở rộng bị xâm nhập.

Nhà cung cấp ví cũng mô tả vụ vi phạm chỉ giới hạn ở tiện ích mở rộng trình duyệt. Trust Wallet kêu gọi người dùng vô hiệu hóa phiên bản bị xâm nhập ngay lập tức và cập nhật lên bản phát hành đã sửa, phiên bản 2.69, có sẵn thông qua Chrome Web Store chính thức.

Người dùng ứng dụng di động và những người sử dụng các phiên bản tiện ích mở rộng khác được cho là không bị ảnh hưởng.

Cách thức vụ tấn công Trust Wallet diễn ra

Các nhà nghiên cứu bảo mật và các nhà phân tích on-chain đã bắt đầu ghép lại dòng thời gian của cuộc tấn công. Các dấu hiệu ban đầu về sự chuẩn bị của các tác nhân đe dọa có từ đầu tháng 12, theo công ty an ninh mạng SlowMist. Báo cáo của họ chỉ ra rằng mã độc đã được nhúng vào bản dựng tiện ích mở rộng trước khi phát hành, cho thấy đây là một cuộc tấn công được lên kế hoạch cẩn thận chứ không phải một cuộc tấn công tự động đơn giản.

Một khi phát hành vào Ngày Giáng sinh, tiện ích mở rộng bị xâm nhập đã thu thập dữ liệu nhạy cảm của người dùng, bao gồm cụm từ khoá, và truyền nó đến một máy chủ từ xa do kẻ tấn công kiểm soát. Các nạn nhân đã nhập cụm từ khoá vào tiện ích mở rộng thấy ví của họ bị rút cạn chỉ trong vài phút, ngay cả khi họ đã tuân thủ các biện pháp bảo mật thông thường.

Trong toàn bộ cộng đồng tiền mã hoá, các thám tử on-chain đã gắn cờ hàng trăm ví bị ảnh hưởng bởi vụ vi phạm. Sự di chuyển nhanh chóng của tài sản thông qua các dịch vụ trộn lẫn đã làm phức tạp nỗ lực truy vết tiền bị đánh cắp, khiến các nỗ lực khôi phục tài sản trở nên thách thức.

Thị trường rộng lớn hơn đã cảm thấy cú sốc của tin tức, xuất hiện vào thời điểm giá tiền mã hoá đã chịu áp lực. Mặc dù quy mô tổn thất tương đối khiêm tốn so với các vụ hack sàn giao dịch lớn trong năm nay, sự cố đã thu hút sự giám sát mới đối với cơ sở hạ tầng ví dựa trên trình duyệt và bảo mật chuỗi cung ứng.

Trong khi đó, lời hứa công khai của Zhao về việc bồi thường thiệt hại nhằm trấn an người dùng rằng sự cố sẽ không dẫn đến tổn thất tài chính cá nhân. Thông điệp của ông nhấn mạnh rằng số tiền bị ảnh hưởng sẽ được hoàn trả từ dự trữ của Trust Wallet, và vấn đề dường như chỉ giới hạn ở tiện ích mở rộng bị xâm nhập.

Một số nhà quan sát ngành đã đặt câu hỏi về cách thức phiên bản độc hại vượt qua đánh giá bảo mật và được phân phối qua các kênh chính thức.

Có những gợi ý ban đầu rằng vụ vi phạm có thể liên quan đến sự xâm nhập chuỗi cung ứng hoặc thậm chí kiến thức nội bộ, do cách thức mã đã bị thay đổi có thể lọt vào bản phát hành chính thức. Những gợi ý này đã gây ra cuộc tranh luận trên các diễn đàn và nền tảng mạng xã hội, với một số người dùng bày tỏ lo ngại về kiểm soát nội bộ và quy trình kiểm tra thủ công.

Trust Wallet đã phản hồi bằng cách ưu tiên phát hành tiện ích mở rộng đã vá lỗi và yêu cầu người dùng cập nhật ngay lập tức. Cũng được khuyến nghị rằng những người bị ảnh hưởng nên tạo cụm từ khoá mới và chuyển tài sản đến môi trường an toàn.

Bài đăng Người sáng lập Trust Wallet, CZ cam kết hoàn trả 7 triệu USD bị mất trong vụ hack Ngày Giáng sinh xuất hiện đầu tiên trên Technext.