Trust Wallet浏览器扩展程序疑似存在安全漏洞，用户报告资金被盗

12月25日，知名区块链调查员ZachXBT发现了一项与Trust Wallet浏览器扩展程序最近一次更新相关的可疑活动，引发了对该扩展程序的安全性担忧。开发者和安全研究人员已发出警告。

根据社交媒体平台X上的讨论，该问题可能源于12月24日发布的浏览器扩展程序更新中引入的供应链漏洞。

据称，更新后新增的代码会在用户导入助记词时窃取敏感的钱包数据，导致部分用户钱包中的资金被迅速盗空。

Trust Wallet扩展程序被指存在恶意代码和数据泄露问题

开发者在审查该扩展程序时指出，更新中添加的JavaScript文件包含伪装成分析工具的恶意逻辑。

该代码会在用户导入助记词后激活，并将钱包相关数据传输到一个外部域名。该域名被设计为模仿Trust Wallet的官方基础设施。

据报道，这一域名是几天前才注册的，目前已被下线。

研究人员认为，此次漏洞出现的时间较短，且扩展程序更新时间点引发外界对协同供应链攻击的担忧，而非单纯的用户端网络钓鱼。

用户报告：导入助记词后钱包资金被盗

多名用户反映，在将助记词导入Trust Wallet浏览器扩展程序后不久，其钱包内的资金被清空。

公开估计数据显示，损失金额可能超过200万美元，但这些数字尚未得到独立核实。

分析人士指出，被盗资金通过多个地址进行路由，这种模式通常与自动化攻击相关，而非孤立的用户操作失误。

影响范围似乎仅限于浏览器扩展程序

截至目前，尚无迹象表明Trust Wallet的移动应用程序受到影响。

网上流传的警告主要集中于浏览器扩展程序。由于其更新机制和对第三方依赖的特性，浏览器扩展程序面临更高的供应链风险。

在获得进一步说明之前，建议用户避免将助记词导入Trust Wallet浏览器扩展程序。

Trust Wallet尚未作出官方回应

截至发稿时，Trust Wallet尚未就这些指控发布任何公开声明、澄清或安全公告。

目前，这些指控尚未得到证实或否认，也未见关于延期、回滚或紧急补丁的相关公告。

调查仍在进行中

研究人员强调，当前情况仍在积极调查中。在对扩展程序代码及相关链上活动进行全面审查之前，不应得出任何结论。

如果指控属实，这起事件将对供应链安全造成严重威胁。

此类攻击与网络钓鱼或用户操作失误有显著区别，并可能在加密货币生态系统中引发迅速而大规模的损失。

---

总结

• 这些指控表明，钱包扩展程序可能面临严重的供应链风险，凸显了代码更新一旦遭到破坏，将成为重要的攻击途径。
• 由于Trust Wallet尚未作出回应，用户和研究人员只能依靠独立调查，而对该事件的审查仍在继续。

---