logo

加密聖誕劫：損失超600萬美元，Trust Wallet 擴展錢包遭駭分析

By: blockbeats|2025/12/26 19:30:07
0
分享
copy
Original Title: "Christmas Heist | Trust Wallet Browser Extension Wallet Hacked Analysis"
Original Source: SlowMist Technology

Background

This morning Beijing time, @zachxbt posted a message in the channel stating that "some Trust Wallet users reported that funds in their wallet addresses were stolen in the past few hours." Subsequently, Trust Wallet's official X also released an official message, confirming that Trust Wallet browser extension version 2.68 has a security risk, reminding all users using version 2.68 to immediately disable this version and upgrade to version 2.69.

加密聖誕劫：損失超600萬美元，Trust Wallet 擴展錢包遭駭分析

Tactics

Upon receiving the intelligence, the SlowMist security team promptly conducted an analysis of the relevant samples. Let's first compare the core code of the previously released versions 2.67 and 2.68:

By diffing the code of the two versions, we found the malicious code added by the hacker:

The malicious code traverses all wallets in the plugin and initiates a "get mnemonic" request for each user's wallet to obtain the user's encrypted mnemonic, and finally uses the password or passkeyPassword entered by the user when unlocking the wallet for decryption. If decryption is successful, the user's mnemonic will be sent to the attacker's domain `api.metrics-trustwallet[.]com`.

We also analyzed the attacker's domain information. The attacker used the domain: metrics-trustwallet.com.

Upon investigation, the registration time of this malicious domain was 2025-12-08 02:28:18, and the domain registrar is: NICENIC INTERNATIONA.

Starting from 2025-12-21, there are initial records of requests targeting api.metrics-trustwallet[.]com.

這個時間點和代碼 12.22 植入後門的時間基本吻合。

我們繼續通過代碼跟踪分析複現整個攻擊過程：

通過動態分析可以看到在解鎖錢包後，可以在 R1 中看到攻擊者將助記詞信息填充到 error 裡面。

而這個 Error 數據的來源是通過 GET_SEED_PHRASE 這個函數調用獲得的，目前 Trust Wallet 支持 password 和 passkeyPassword 兩種方式進行解鎖，攻擊者在解鎖的時候拿到了 password 或 passkeyPassword，然後調用 GET_SEED_PHRASE 獲取了錢包的助記詞（私鑰也是類似），然後將助記詞放到了「errorMessage」中。

如下是使用 emit 調用 GetSeedPhrase 獲取助記詞數據並填充到 error 的代碼。

通過 BurpSuite 進行的流量分析顯示，在獲取到助記詞後，將其封裝在請求體的 errorMessage 欄位中，並發送到惡意伺服器 (https[://]api[.]metrics-trustwallet[.]com)，這與前面的分析是一致的。

經過以上流程，完成竊取助記詞/私鑰攻擊。另外攻擊者應該也熟悉擴展原始碼，其利用開源的全鏈路產品分析平臺 PostHogJS 採集用戶錢包信息。

被竊資產分析

(https://t.me/investigations/296)

根據 ZachXBT 披露的駭客地址，我們統計發現，截至發文時，Bitcoin 鏈上被竊資產總數約 33 BTC（價值約 300 萬 USD），Solana 鏈上被竊資產價值約 431 USD，Ethereum 主網及 Layer 2 等各條鏈被竊資產價值約 300 萬 USD。駭客在竊幣後把部分資產利用各種中心化交易平臺和跨鏈橋進行資產轉移和兌換。

總結

此次後門事件源於對 Trust Wallet 擴展內部程式庫（分析服務邏輯）的惡意原始碼修改，而非引入已被篡改的通用第三方套件（如惡意 npm 套件）。攻擊者直接篡改了應用程式自身的原始碼，利用合法的 PostHog 庫將分析資料導向惡意伺服器。因此，我們有理由相信這是一起專業的 APT 攻擊，攻擊者可能在 12 月 8 日之前已經控制 Trust Wallet 相關開發人員的裝置權限或發佈部署權限。

建議：

1. 如果您安裝過 Trust Wallet 擴展錢包，應該在第一時間斷網作為排查和操作前提。

2. 立即匯出私鑰/助記詞並卸載 Trust Wallet 擴展錢包。

3. 在備份好私鑰/助記詞後，儘快在其他錢包上做好資金的轉移。

原文連結

猜你喜歡

2月11日關鍵市場資訊差，一定要看！｜Alpha早報

1.頭條新聞：SBF尋求重新審判，已提交上訴文件

2月11日市場關鍵情報，你錯過了多少？

1. 鏈上資金：本日55.8M美元流入Ethereum；96.5M美元流出Arbitrum 2. 最大漲跌幅：$ISLM、$MYX 3. Top新聞：修復性反彈後持續橫盤，市場底部點位預測彙總

比特幣礦工MARA在10小時內移動1318 BTC，交易者警惕強迫礦工賣出

馬拉松數字控股（MARA）在比特幣價格下跌期間，在10小時內轉移了1,318枚比特幣，價值約8,690萬美元。 這些比特幣被轉至與Two Prime、BitGo和Galaxy Digital相關的加密貨幣錢包。 比特幣近期價格持續下跌，給礦工帶來經濟壓力，並導致礦工股價下跌。 MARA股價在過去5天中下跌超過30%，市場面對多重壓力。 WEEX Crypto News, 2026-02-09 06:20:08 在加密貨幣市場持續波動的浪潮中，比特幣礦商馬拉松數字控股（Marathon Digital Holdings，以下簡稱MARA）做出了一個驚人的舉動。該公司在短短10小時內轉移了1,318枚比特幣，這一動作引起了市場人士的廣泛關注，許多人擔心這可能會觸發礦工的強行賣出潮，進一步加劇市場波動。 MARA的比特幣移動策略 根據區塊鏈數據顯示，這次比特幣的轉移涵蓋了三個主要錢包：Two Prime、BitGo以及Galaxy Digital。每個接受比特幣的公司都有各自的用途和功能。以Two…

I’m sorry for the inconvenience, but without acces…

I’m sorry for the inconvenience, but without access to the original article you referred to, I’m unable to…

I’m sorry, I can’t assist with that request.

I’m sorry, I can’t assist with that request.

I’m sorry, but I cannot fulfill this request as it…

I’m sorry, but I cannot fulfill this request as it involves rewriting copyrighted content without having access to…

熱門幣種

最新加密貨幣要聞

05:00

以太坊市值跌至全球主流資產第86位

BlockBeats 消息，2 月 12 日，据 8 Market 数据显示，随着以太坊跌破 2000 美元，其市值现降至 2319.7 亿美元，低于百事可乐（市值 2321.8 亿美元），降至全球主流资产第 86 位。
05:00

分析師：美國就業強勁展現經濟韌性，但美聯儲仍面臨高度不確定性

BlockBeats 消息，2 月 12 日，Vontobel 分析師 Andrew Jackso 表示，美國 1 月新增就業人數高於預期，再次印證經濟的韌性，但對政策制定者而言，並未帶來更多清晰指引。儘管當前經濟狀況較去年年初更具可預見性，但美聯儲面臨的不確定性仍高於許多其他央行同業。對於固定收益投資者而言，核心結論是：「信貸基本面尚可，宏觀經濟狀況尚可，美國經濟表現出相當的韌性。」與一年前相比，企業債估值處於高位的擔憂已不那麼明顯。「我認為信貸利差可能維持在當前水平，甚至進一步小幅收窄。」(金十)
05:00

道明證券：將美联储降息預期從3月推遲至6月，仍預計年內三次降息

BlockBeats 消息，2 月 12 日，道明證券將美聯儲下次降息時間點的預測從此前的 3 月延遲至 6 月，仍預計今年將累計降息 75 個基點，降至終端利率 3%。道明證券預計美聯儲將在 6 月、9 月和 12 月各進行一次 25 個基點的降息。該機構首席美國宏觀策略師 Oscar Munoz 領軍的團隊表示，預期中的政策寬松並非源於經濟狀況惡化，而是隨著通膨逐步回到目標水平，貨幣政策走向「正常化」的結果。就業前景改善應能讓美聯儲把注意力轉向通膨任務。該機構同時預計，美債收益率今年將會繼續下行，10 年期收益率至年底將降至 3.75%（此前預計為 3.5%）。(金十)
19:07

观點：市場處於熊市末期震盪階段，預期波動範圍約15%

BlockBeats 消息，2 月 11 日，DWF Labs 发文表示，目前市场正处於熊市末期的波動階段，比特幣價格已回落至約 67,000 美元，流動性變稀薄的同時槓桿被大幅清空。機構投資者也未能為下跌帶來緩衝，今年早些時候比特幣現貨 ETF 甚至在 12 個交易日內大額流出 29 億美元。比特幣價格再次跌破 7 萬美元令人意外，一些機構投資者正在抓住這個機會。DEF 預期比特幣價格將在當前水平附近約 15% 持續震盪。
19:07

美股盤前加密概念股普跌，Strategy跌3.38%

BlockBeats 消息，2 月 11 日，据 Bitget 行情数据，美股盘前加密概念股普跌，其中：Strategy（MSTR）跌 3.38%；Coinbase（COIN）跌 4.01%；Circle（CRCL） 跌 1.99%；MARA Holdings（MARA） 跌 3%；Riot Platforms（RIOT） 跌 2.63%；BitMine Immersion（BMNR） 跌 3.26%；SharpLink Gaming（SBET） 跌 1.95%。
閱讀更多
社區
iconiconiconiconiconiconiconicon

聯繫客服Bot：@WEEX_support_smart_Bot

VIP服務：support@weex.com