Trust Wallet遭供应链攻击，浏览器扩展漏洞致损失超600万美元

12 月 25 日，主流加密貨幣錢包 Trust Wallet 確認其瀏覽器擴展程序 2.68 版本存在嚴重安全漏洞，已導致大量用戶資金被盜。鏈上偵探 ZachXBT 分析指出，此次事件已造成至少 600 萬美元的損失，涉及數百名受害者。初步調查顯示，漏洞源於一次惡意的擴展程序更新，攻擊者通過植入惡意代碼，在用戶導入助記詞時竊取敏感信息並迅速清空錢包。目前，Trust Wallet 已緊急發布修復版本 2.69，並建議所有用戶立即升級。此次事件再次為去中心化資產的自托管安全敲響警鐘，突顯了軟體供應鏈在加密生態中的潛在風險。

事件全景：一夜之間，數百萬美元資產不翼而飛

2023 年 12 月 24 日至 25 日，對許多 Trust Wallet 用戶而言是一個充滿恐慌的假日。在聖誕假期期間，陸續有用戶在社交媒體上報告稱，他們在將助記詞導入最新版 Trust Wallet 瀏覽器擴展程序後，錢包內的資產在短時間內被迅速轉走。這一異常情況迅速引起了區塊鏈安全社群，尤其是知名鏈上偵探 ZachXBT 的警覺。

透過跟蹤和關聯多起報告，ZachXBT 發現這些資金被盜事件存在高度一致性：均發生在用戶使用瀏覽器擴展版本 2.68 導入錢包之後，且被盜資產涵蓋比特幣、以太坊、BNB 以及 Solana 鏈上的多種代幣。資金轉移速度極快，毫無延遲，呈現出典型的自動化攻擊特徵，而非個別用戶的誤操作或釣魚事件。隨著更多受害者站出來，被盜金額的預估數字從最初的 200 萬美元不斷攀升，最終 ZachXBT 根據公開的涉事地址統計，損失總額已超過 600 萬美元，受害者可能多達數百人。

面對社群日益增長的質疑和恐慌，Trust Wallet 官方終於在 12 月 25 日發布聲明，確認了安全事件的存在。官方指出，問題僅存在於瀏覽器擴展的 2.68 版本，行動端應用及其他版本的擴展均未受影響。團隊敦促所有使用 2.68 版本的用戶立即禁用該擴展，並透過官方 Chrome 線上應用商店升級至已修復的 2.69 版本。儘管官方確認了漏洞並提供了解決方案，但關於漏洞的具體技術細節和根本原因，Trust Wallet 在初期並未詳盡披露，這進一步引發了社群對安全透明度的討論。

攻擊手法深度剖析：一次典型的供應鏈攻擊

隨著安全研究人員對問題版本擴展程序的代碼進行逆向工程，這次攻擊的狡猾面目逐漸清晰。這並非一次簡單的網路釣魚或用戶設備中毒，而是一次精心策劃的 軟體供應鏈攻擊。供應鏈攻擊是指透過污染軟體正常的開發、更新或分發流程，將惡意代碼植入合法軟體中，從而攻擊所有信任並下載該軟體的用戶。

在此次事件中，攻擊的突破口正是 Trust Wallet 瀏覽器擴展在 12 月 24 日發布的 2.68 版本更新。研究人員發現，該更新包中被插入了一段惡意 JavaScript 代碼。這段代碼被巧妙地偽裝成用於收集分析數據的模組，從而逃過了可能的安全審查。其惡意邏輯具有高度的針對性：它專門監測用戶“導入助記詞”這一關鍵操作。一旦用戶執行該操作，惡意代碼便會悄無聲息地將用戶輸入的完整助記詞以及其他敏感錢包資料，加密傳送到一個由攻擊者控制的外部域名。

更令人擔憂的是，這個用於接收資料的域名經過用心設計，使其看起來與 Trust Wallet 的官方基礎設施相似，增加了隱蔽性。根據 whois 資訊查詢，該域名在攻擊發生前不久才被註冊，並在完成資料收集任務後迅速下線，顯示了攻擊者清晰的行動計畫和反偵察意識。因此，用戶只要在受感染的 2.68 版本擴展中導入了助記詞，就等於親手將金庫的鑰匙送到了攻擊者手中，隨後發生的資產轉移便完全在攻擊者的控制之下。

漏洞關鍵數據與攻擊鏈條

為了更清楚理解此次事件的嚴重性，我們梳理了攻擊鏈條中的幾個關鍵節點和數據：

漏洞引入時間：2023 年 12 月 24 日（版本 2.68 發布）

攻擊活躍窗口：2023 年 12 月 24 日至 25 日

確認損失金額：超過 600 萬美元（基於 ZachXBT 鏈上分析）

主要受影響資產：比特幣、以太坊、BNB、Solana 生態代幣

攻擊者策略：資金透過多個中間地址快速轉移、混幣，增加追蹤難度

官方回應時間：從社群預警到官方確認及發布修復版本（2.69），約 24 小時

用戶緊急應對指南與安全反思

對於已經使用過 2.68 版本擴展的用戶，當務之急是立即採取行動以降低損失風險。首先，必須立即在瀏覽器中禁用或徹底卸載 Trust Wallet 擴展的 2.68 版本。其次，僅透過官方認證的 Chrome 線上應用商店渠道，下載並安裝最新的 2.69 版本。Trust Wallet 特別強調，在完成升級之前，切勿再次打開瀏覽器擴展程序。對於行動端用戶，此次事件確認不影響手機應用程式，但保持應用為最新版本永遠是良好的安全習慣。

然而，對於已經在漏洞版本中導入過助記詞的用戶，情況則更為嚴峻。由於助記詞可能已經洩露，基於該助記詞生成的所有錢包地址都應被視為“已污染”。最徹底的安全措施是，立即將資產轉移至一個由全新、從未在受影響擴展中使用過的助記詞所生成的錢包地址中。這意味著用戶需要建立一個全新的錢包，並將所有資產手動轉移過去。這是一個繁瑣但至關重要的步驟。如果發現資產已被盜，用戶應透過 Trust Wallet 官方支援渠道反饋情況，並保存好所有相關的交易哈希（TxID），以便後續可能的調查或法律追索。

此次 Trust Wallet 安全事件遠超普通的私鑰洩露，它深刻地揭示了去中心化金融（DeFi）和自托管錢包生態中一個常被忽視的軟肋：對中心化軟體分發渠道的依賴。即使錢包本身是非托管、去中心化的，但其客戶端軟體（如瀏覽器擴展、手機 App）的更新機制，仍然依賴於谷歌應用商店、蘋果 App Store 或開發團隊的官方伺服器。一旦這個環節被攻破，所有用戶都將暴露在風險之下。這要求專案方必須實施極其嚴格的上線前程式碼審查和供應鏈安全監控，同時也提醒用戶，即便使用頂級錢包，對任何突如其來的更新保持警覺、暫緩升級並觀察社群反饋，也是不失為一種謹慎的策略。

加密安全啟示錄：從個體防護到生態責任

Trust Wallet 此次事件不僅是單一產品的安全危機，更是對整個加密行業的一次壓力測試。它再次強調了“不是你的密鑰，就不是你的加密貨幣”這句格言背後的沉重責任。自托管意味著安全的主權完全掌握在用戶自己手中，但與之配套的安全知識和實踐卻遠遠沒有普及。用戶需要認識到，助記詞是資產的終極防線，在任何情況下都不應將它輸入任何聯網的、未經徹底驗證的環境。

從更廣闊的視角看，行業基礎設施提供商的安全責任邊界需要重新討論。錢包作為用戶進入加密世界的門戶，其安全標準理應達到最高級別。這包括但不限於：採用多重簽名機制管理核心程式碼的發布、與多家頂級安全審計公司建立長期合作進行迭代審計、建立漏洞賞金計畫鼓勵白帽黑客提前發現隱患，以及制定清晰、透明的安全事故應急回應與溝通流程。事後“補丁”遠遠不夠，必須在軟體開發的整個生命週期（SDLC）中融入安全設計。

展望未來，硬體錢包與“智能合約錢包”的結合可能是更優解。硬體錢包將私鑰隔離在安全的離線晶片中，從根本上杜絕此類透過軟體竊取助記詞的可能；而基於智能合約的社交恢復錢包，則提供了私鑰遺失或洩露後的挽回機制。技術總是在攻防中演進，每一次重大的安全事件，都應當成為推動整個行業建立更健壯、更用戶友善的安全基礎設施的催化劑。對於普通用戶而言，在哀嘆損失之餘，更重要的是將此次事件作為一堂深刻的安全教育課，全面提升自己的資產管理安全等級。