12月25日、ブロックチェーン調査員のZachXBTが最近のアップデートに関連する可能性のある不審な活動を指摘した後、Trust Walletブラウザ拡張機能に関するセキュリティー上の懸念が浮上し、開発者やセキュリティー重視のアカウントから警告が発せられました。
X上で拡散された投稿によると、この問題は12月24日のブラウザ拡張機能アップデートで導入された疑わしいサプライチェーン侵害に起因する可能性があります。
拡張機能内に新たに追加されたコードは、ユーザーがシードフレーズをインポートする際に、機密性の高いウォレットデータを密かに流出させる可能性があります。この主張は、これが即座のウォレット流出につながったことを示唆しています。
Trust Walletの悪意あるコードとデータ流出の疑惑
拡張機能を調査している開発者は、アップデートで追加されたJavaScriptファイルに、分析機能を装ったロジックが含まれていると主張しています。
このコードは、シードフレーズがインポートされたときに特に作動すると言われています。その後、Trust Walletの公式インフラストラクチャーに似せて設計された外部ドメインに、ウォレット関連データを密かに送信します。
報告書で言及されているドメインは、わずか数日前に登録されたと伝えられており、その後オフラインになっています。
研究者たちは、その最近の作成と拡張機能アップデートのタイミングが、ユーザー側のフィッシングではなく、組織的なサプライチェーン攻撃への懸念を引き起こしていると主張しています。
シードフレーズインポート後のウォレット流出をユーザーが報告
複数のユーザーが、Trust Walletブラウザ拡張機能にシードフレーズをインポートした直後に、ウォレットが流出したと報告しています。
公表された推定によると、200万ドル以上が失われた可能性があります。ただし、これらの数字は独立して検証されていません。
アナリストは、資金が複数のアドレスを経由してルーティングされたことを示しており、これは単独のユーザーエラーよりも自動化された悪用に一般的に関連するパターンです。
影響範囲はブラウザ拡張機能に限定されているようだ
現段階では、Trust Walletのモバイルアプリが影響を受けているという兆候はありません。
オンラインで拡散されている警告は、特にブラウザ拡張機能に焦点を当てています。これは、アップデートメカニズムとサードパーティの依存関係がより高いサプライチェーンリスクをもたらす場所です。
ユーザーは、さらなる説明が提供されるまで、Trust Walletブラウザ拡張機能にシードフレーズをインポートしないよう勧められています。
Trust Walletからの公式回答はまだない
執筆時点で、Trust Walletは疑惑に対処する公式回答、説明、またはセキュリティー勧告を発表していません。
主張の確認も否定もなく、拡張機能のロールバックや緊急パッチの発表もありません。
調査が進行中
研究者たちは、状況が積極的な調査下にあることを強調しています。拡張機能のコードと関連するオンチェーンでの活動が完全に検証されるまで、結論を出すべきではありません。
確認された場合、この事件は深刻なサプライチェーンの侵害を表すことになります。
これは、フィッシングやユーザー側のミスとは大きく異なる攻撃の種類です。また、歴史的に暗号資産エコシステム全体で迅速かつ大規模な損失をもたらしてきました。
最終的な考察
- 疑惑は、ウォレット拡張機能に影響を与える潜在的に深刻なサプライチェーンリスクを指摘しており、コードアップデートが侵害された場合に重要な攻撃ベクトルになる可能性があることを強調しています。
- Trust Walletからの回答がまだないため、ユーザーと研究者は、事件への監視が続く中、独立した調査に頼るしかありません。
出典: https://ambcrypto.com/zachxbt-flags-suspected-trust-wallet-extension-issue-as-users-report-drained-funds/
