#钱包安全漏洞 Побачив цей 600 мільйонів доларів у Trust Wallet, мені стало трішки сумно. Не через масштаб події, а тому що ця модель надто знайома.

Повертаючись у 2022 рік, я особисто був свідком кількох ключових моментів у безпеці плагін-гаманців. Тоді вразливість Demonic поширилася на MetaMask і Phantom, приватні ключі були відкриті в пам’яті, я пам’ятаю, скільки людей питали в чатах, чи варто продовжувати користуватися. Потім Trust Wallet знову виявив уразливість WebAssembly, хоча й на 17 тисяч доларів, але їхній підхід до компенсацій викликав довіру. Минуло три роки, і тепер, дивлячись на ситуацію з версією 2.68, здається, що історія повторюється в певному вимірі.

Але якщо уважно проаналізувати дані, стає зрозуміло, що суть проблеми тихо змінюється. За ці роки кількість безпосередніх офіційних вразливостей у плагін-гаманцях зменшується, справжні катастрофи спричиняють не сам код, а підроблені додатки та фішингові схеми. MetaMask з 2023 року і до сьогодні не мав прямих безпекових вразливостей, але кількість крадіжок зросла, причина — підроблене ПЗ і фішингові атаки. Тотальна атака в магазині Firefox — найкращий доказ.

Я бачив занадто багато проектів, що переходили від технічної міцності до руйнування на ринку. Ринкова частка Trust Wallet — 35%, місячна активність — 17 мільйонів користувачів, цей масштаб сам по собі став найбільшим мішенню. Хакери стали розумнішими: вони вже не борються з офіційним кодом напряму, а працюють через ланцюг постачання і поведінку користувачів. Як захистити офіційний гаманець? Так само, як і підробки: копіювати. Як надсилати попередження про безпеку? Так само, як і фішингові посилання — максимально точно. Це нерівна гонка озброєнь.

Зараз, оглядаючись назад, від системи винагород за вразливості 2022 року до колективних судових процесів 2025-го, вся екосистема проходить етап перетворення. Деякі проекти навчилися швидко компенсувати збитки і відкрито спілкуватися, інші — звинувачують один одного у відповідальності в судах. Фраза Phantom "незалежний гаманець — відповідальність користувача" — з точки зору буквального значення правильна, але якщо користувачі не можуть відрізнити справжнє від підробки, навіть найлогічніші аргументи не зможуть зберегти довіру.

Повертаючись до сьогодення, моя порада дуже проста: офіційний канал у Chrome Web Store — єдина надійна фортеця. Але проблема в тому, що ті, хто розуміє цю логіку, зазвичай пережили бум 2017 року, і справжній захист мають ті, хто щойно входить у ринок. Кожна така подія змушує все більше людей звертатися до централізованих бірж, іронія в тому, що саме це і є початковим шляхом вирішення таких проблем. Іноді історія йде так дивно.