Путаница с компенсациями Trust Wallet, проблемы с выявлением настоящих пострадавших｜Обнаружено 5 000 случаев мошеннических требований

Глубина разрыва между требованиями компенсации и реальными убытками

Самоуправляемый кошелек «Trust Wallet» столкнулся с неожиданными проблемами. Согласно заявлению генерального директора компании Ивина Ченя, количество требований о компенсации, связанных с хакерской атакой, произошедшей 25 декабря с использованием уязвимости браузерного расширения, достигло около 5 000, в то время как фактическое число пострадавших кошельков составляет всего 2 596. Отклонение более чем вдвое вызвало подозрения у Ченя, который отметил, что в заявках могут содержаться ложные и дублирующиеся обращения. «Trust Wallet» внедряет новый процесс строгой проверки подлинности ущерба, чтобы повысить доверие к системе компенсаций.

Общая сумма ущерба от инцидента оценивается примерно в 7 миллионов долларов (около 11 миллиардов йен), и уже объявлена политика полного возмещения пострадавших.

Реальная картина ущерба: утечка активов через вредоносный код

Причиной инцидента стало внедрение вредоносного кода в версию 2.68 Chrome-расширения «Trust Wallet». Злоумышленники использовали эту уязвимость для незаконного перевода криптовалюты пользователей. Об этом сообщил специалист по безопасности криптовалют ZachXBT, после чего компания немедленно начала меры по предотвращению дальнейших потерь.

Важно отметить, что на мобильных приложениях и других браузерных расширениях влияние не распространяется, что подтвердили представители компании. В экстренном порядке была выпущена исправленная версия 2.69, и пользователям рекомендовано отключить расширение.

Продвижение компенсационных мер и усиление проверки

27 декабря «Trust Wallet» открыл официальный портал поддержки для подачи заявлений о компенсации пострадавшим. Заявители должны предоставить необходимые сведения — адрес электронной почты, адрес кошелька, адрес получателя злоумышленника — через специальную форму.

Основатель крупной биржи, являющейся материнской компанией «Trust Wallet», Чанпун Чжао, заявил в X, что компания возьмет на себя все расходы по компенсации ущерба. В то же время компания предупреждает о возможных фишинговых атаках, связанных с мошенническими формами подачи заявлений, и призывает не реагировать на сообщения, поступающие вне официального сайта поддержки.

Усиление процесса проверки: выявление настоящих пострадавших

Команда проверки «Trust Wallet» в настоящее время тщательно анализирует большое количество заявлений о компенсации. По словам Ченя, для определения подлинных пострадавших и недобросовестных заявителей используются различные данные: история транзакций, версия расширения, подтверждение владения кошельком и другие.

Компания явно заявила, что приоритетом является точность проверки, а не скорость выплаты, и сознательно регулирует процесс возврата средств, чтобы предотвратить мошенничество.

В рамках текущего технического расследования обнаружены следы глубокого знания злоумышленниками структуры исходного кода «Trust Wallet». Ведутся расследования возможного внутреннего участия, однако на данный момент доказательств нет, и расследование продолжается при содействии внешних экспертов.

Коренные уязвимости самоуправляемых кошельков

Этот инцидент выявил потенциальные риски концепции самоуправляемых кошельков. Особенно с ростом популярности браузерных расширений, индустрия начала осознавать, что цепочка поставок программного обеспечения (саплайчейн) может стать новой мишенью для атак.

Несколько компаний, занимающихся кошельками, отмечают, что даже при управлении секретными ключами пользователями, механизмы распространения приложений и обновлений остаются централизованными. Эксперты подчеркивают: «Даже в самоуправляемых кошельках, где пользователь хранит ключи, существует риск односторонней уязвимости в процессе распространения и обновления приложений». Для повышения надежности рекомендуется использовать воспроизводимые сборки, усилить контроль целостности и децентрализовать процесс обновлений.

Эта точка зрения подталкивает всю индустрию к переосмыслению вопросов безопасности самоуправляемых кошельков.