31 декабря 2026 года Рави Лакшманан Безопасность программного обеспечения / Утечка данных

Во вторник Trust Wallet сообщил, что вторая версия вспышки цепочки поставок Shai-Hulud (также известной как Sha1-Hulud) в ноябре 2025 года, вероятно, стала причиной взлома расширения Google Chrome, что в итоге привело к краже примерно 8,5 миллиона долларов активов.

«В ходе атаки были раскрыты наши секреты GitHub для разработчиков, что дало злоумышленнику доступ к исходному коду расширения для браузера и к ключу API Chrome Web Store (CWS)», — заявила компания в опубликованном во вторник анализе после анализа.

«Злоумышленник получил полный доступ к API CWS через утечку ключа, что позволило загружать сборки напрямую без стандартного процесса выпуска Trust Wallet, который требует внутреннего одобрения/ручной проверки.»

Впоследствии, как сообщается, злоумышленник зарегистрировал домен «metrics-trustwallet[.]com» и выпустил троянизированную версию расширения с бэкдором, способным собирать мнемонические фразы кошелька пользователей на поддомене «api.metrics-trustwallet»[.]com.»

Это раскрытие произошло через несколько дней после того, как Trust Wallet призвал около миллиона пользователей своего расширения для Chrome обновиться до версии 2.69 после того, как вредоносное обновление (версия 2.68) было выпущено неизвестными злоумышленниками 24 декабря 2025 года на рынок расширений браузера.

Инцидент с безопасностью в итоге привёл к тому, что 8,5 миллиона долларов криптовалютных активов были выведены из 2520 адресов кошельков на не менее 17 адресов кошельков, контролируемых злоумышленником. Первая активность, связанная с расходом кошелька, была публично сообщена на следующий день после вредоносного обновления.

С тех пор Trust Wallet инициировал процесс возмещения расходов для пострадавших жертв. Компания отметила, что рассмотрение поданных заявлений продолжается и рассматривается индивидуально. Также отмечается, что время обработки может различаться в зависимости от дела из-за необходимости различать жертв и злоумышленников, а также дополнительно защищать от мошенничества.

Чтобы предотвратить повторение подобных утечек, Trust Wallet заявила, что внедрила дополнительные возможности мониторинга и контроли, связанные с процессами выпуска.

«Sha1-Hulud — это отраслевая атака на цепочку поставок программного обеспечения, которая затронула компании в различных секторах, включая, но не ограничиваясь, криптовалютой», — говорится в компании. «Это включало ввод и распространение вредоносного кода через широко используемые инструменты разработчиков. Это позволяло злоумышленникам получать доступ через доверенные программные зависимости, а не напрямую нацеливаться на отдельные организации.»

Раскрытие Trust Wallet совпало с появлением Shai-Hulud 3.0 с увеличением обфускации и улучшений надёжности, при этом при этом сосредоточенным на краже секретов у машин разработчиков.

«Основное отличие заключается в обфусации строк, обработке ошибок и совместимости с Windows, все направлены на увеличение продолжительности кампании, а не на внедрение новых методов эксплуатации», — отметили исследователи Upwind Гай Гилад и Моше Хассан.