Lỗ hổng mã hacker của Trust Wallet: $6M trong việc trộm tiền điện tử qua tiện ích mở rộng độc hại

Một cuộc tấn công tinh vi nhằm vào người dùng Trust Wallet đã dẫn đến việc mất hơn $6 triệu đô la trong tài sản kỹ thuật số, phơi bày một trong những lỗ hổng bảo mật nghiêm trọng nhất trong lĩnh vực ví tiền điện tử. Cuộc tấn công liên quan đến mã hacker được nhúng trực tiếp vào mã nguồn của tiện ích mở rộng trình duyệt—một phát triển mà các nhà nghiên cứu bảo mật xếp loại là một hoạt động Mối đe dọa Kiên trì Nâng cao (APT).

Cách Mã Hacker Tấn Công Người Dùng Trust Wallet

Vào ngày 8 tháng 12 năm 2025, các hacker đã đăng ký tên miền độc hại metrics-trustwallet.com. Hai tuần sau, vào ngày 21-22 tháng 12, các nhà nghiên cứu bảo mật phát hiện các nỗ lực rò rỉ dữ liệu đầu tiên. Mã hacker hoạt động qua một cơ chế đơn giản nhưng hiệu quả: khi người dùng mở khóa tiện ích mở rộng Trust Wallet (phiên bản 2.68), mã độc sẽ chặn các cụm seed phrases đã mã hóa của họ.

Lỗ hổng này không được giới thiệu qua thư viện hoặc phụ thuộc của bên thứ ba bị xâm phạm—thay vào đó, các hacker đã trực tiếp tiêm mã độc vào mã nội bộ của Trust Wallet. Sự khác biệt này rất quan trọng: nó cho thấy các tác nhân đe dọa đã truy cập vào hạ tầng phát triển hoặc hệ thống triển khai của Trust Wallet vài tuần trước khi cuộc tấn công trở thành công khai.

Phương pháp tấn công dựa trên việc đánh cắp các cụm mnemonic đã mã hóa của người dùng bằng cách lợi dụng mật khẩu hoặc khóa truy cập mà họ nhập khi mở khóa ví. Mã hacker sau đó sẽ giải mã các cụm này và truyền chúng về máy chủ điều khiển của kẻ tấn công (api.metrics-trustwallet[.]com), cho phép hacker kiểm soát hoàn toàn các ví bị xâm phạm.

Phân Tích Chi Tiết Về Mã Hacker Độc Hại

Các nhà nghiên cứu bảo mật từ SlowMist đã thực hiện phân tích chi tiết bằng cách so sánh phiên bản 2.67 và 2.68 của tiện ích mở rộng Trust Wallet. Các phát hiện cho thấy chính xác cách thức hoạt động của mã hacker ở cấp độ ứng dụng.

Payload độc hại lặp qua tất cả các ví được lưu trữ trong tiện ích mở rộng và gửi yêu cầu để trích xuất cụm mnemonic đã mã hóa của người dùng. Khi lấy được, mã sẽ giải mã cụm này bằng thông tin xác thực mà người dùng đã nhập khi mở khóa ví. Nếu quá trình giải mã thành công—điều này sẽ xảy ra với mọi người dùng hợp lệ—thì cụm mnemonic bị lộ sẽ tự động gửi đến máy chủ của kẻ tấn công.

Sự tinh vi của mã hacker này cho thấy khả năng phát triển chuyên nghiệp. Các hacker đã sử dụng thư viện phân tích hợp pháp PostHogJS như một lớp che phủ, chuyển hướng dữ liệu phân tích hợp pháp đến hạ tầng độc hại của họ. Kỹ thuật này giúp mã hacker hòa nhập với các hoạt động bình thường của ví, tránh bị phát hiện ngay lập tức.

Phân tích động của cuộc tấn công cho thấy, sau khi giải mã, dữ liệu mnemonic được nhúng trong trường thông báo lỗi của các yêu cầu mạng—một kỹ thuật làm rối loạn thông tin thông minh giúp các thông tin xác thực bị đánh cắp đi qua lưu lượng mạng mà không gây chú ý ngay lập tức. Phân tích lưu lượng BurpSuite xác nhận rằng các cụm phục hồi bị đánh cắp luôn được đóng gói trong trường errorMessage trước khi truyền đến máy chủ của kẻ tấn công.

Theo Dõi Các Tài Sản Bị Đánh Cắp và Hạ Tầng của Kẻ Tấn Công

Theo dữ liệu do nhà nghiên cứu bảo mật zachxbt tiết lộ, vụ trộm đã gây thiệt hại đáng kể trên nhiều chuỗi khối:

• Chuỗi khối Bitcoin: Khoảng 33 BTC bị đánh cắp, trị giá khoảng (triệu đô la ) theo tỷ giá $89.57K mỗi BTC tính đến tháng 1 năm 2026
• Ethereum và các mạng Layer 2: Khoảng $3 triệu đô la thiệt hại tổng hợp
• Chuỗi khối Solana: Khoảng $431 đã bị đánh cắp
• Các mạng khác: Các thiệt hại bổ sung từ các hệ sinh thái blockchain khác

Phân tích sau vụ trộm cho thấy các hacker ngay lập tức bắt đầu di chuyển và trao đổi các tài sản bị đánh cắp qua các cầu nối phi tập trung và nhiều sàn giao dịch tập trung, có khả năng nhằm che giấu nguồn gốc của quỹ và làm phức tạp quá trình phục hồi.

Tên miền độc hại này được đăng ký vào ngày 8 tháng 12 năm 2025, lúc 02:28:18 UTC qua nhà đăng ký tên miền NICENIC INTERNATIONA. Thời điểm giữa việc đăng ký tên miền và các nỗ lực rò rỉ dữ liệu đầu tiên cho thấy đây là một hoạt động phối hợp cẩn thận—mã hacker không được triển khai vội vàng mà là một phần của chiến dịch có kế hoạch kỹ lưỡng.

Các Hành Động Ngay Lập Tức: Bảo Vệ Ví của Bạn khỏi Các Cuộc Tấn Công Dựa Trên Mã Tương Tự

Đội ngũ phát triển của Trust Wallet xác nhận lỗ hổng trong phiên bản 2.68 và đã phát hành cảnh báo bảo mật khẩn cấp. Phản hồi chính thức bao gồm các chỉ thị quan trọng sau:

Nếu bạn sử dụng tiện ích mở rộng trình duyệt Trust Wallet:

1. Ngắt kết nối internet ngay lập tức—đây là bước đầu tiên trước khi thực hiện bất kỳ hành động khắc phục sự cố nào. Giữ kết nối trong khi ví của bạn có thể bị xâm phạm sẽ làm tăng nguy cơ mất toàn bộ tài sản.

2. Xuất khóa riêng hoặc cụm mnemonic của bạn khi đang offline, rồi gỡ bỏ tiện ích mở rộng Trust Wallet ngay lập tức. Không bật lại phiên bản 2.68 trong bất kỳ hoàn cảnh nào.

3. Nâng cấp lên phiên bản 2.69 chỉ sau khi chuyển toàn bộ quỹ của bạn sang ví mới hoàn toàn, an toàn (dù là một ứng dụng ví khác, ví phần cứng, hoặc tài khoản mới với cụm khôi phục được tạo mới).

4. Chuyển tất cả quỹ sang địa chỉ ví mới càng sớm càng tốt. Bất kỳ loại tiền điện tử nào còn trong ví đã truy cập qua phiên bản 2.68 bị xâm phạm đều có nguy cơ.

Lỗ hổng mã hacker này ảnh hưởng đến tất cả người dùng đã cài đặt phiên bản 2.68, bất kể họ có sử dụng tiện ích mở rộng hay không—payload độc hại tự động thực thi khi mở khóa ví.

Tại Sao Đây Là Một Mối Đe Dọa Mã Hacker Cấp Độ APT

Các nhà phân tích bảo mật xếp loại cuộc tấn công này là một Mối đe dọa Kiên trì Nâng cao (APT) tinh vi vì nhiều lý do thuyết phục. Thứ nhất, phạm vi và sự phối hợp cho thấy các tác nhân đe dọa chuyên nghiệp, không phải hacker cơ hội. Thứ hai, khả năng các hacker đã truy cập vào hệ thống phát triển hoặc hệ thống triển khai của Trust Wallet cho thấy đây là một sự xâm phạm có mục tiêu, không chỉ là một ứng dụng ví công khai.

Độ chính xác của mã hacker—khả năng nhắm mục tiêu các cơ chế mở khóa ví cụ thể, giải mã các cụm an toàn, và rò rỉ dữ liệu qua các yêu cầu phân tích hợp pháp trông rất tinh vi. Khoảng thời gian một tháng giữa việc đăng ký tên miền và phát hiện cuộc tấn công cho thấy sự chuẩn bị kỹ lưỡng và điều tra kỹ lưỡng.

Sự cố này là một lời nhắc nhở rõ ràng rằng ngay cả các dự án đã có uy tín và nguồn lực mạnh mẽ cũng có thể trở thành nạn nhân của các cuộc tấn công chuỗi cung ứng tinh vi. Mã hacker đã được tích hợp không như một mối đe dọa bên ngoài mà như một phần của chính ứng dụng hợp pháp, khiến việc phát hiện trở nên cực kỳ khó khăn đối với người dùng cuối cho đến khi các nhà nghiên cứu bảo mật phát hiện ra điểm bất thường.

Nhắc nhở quan trọng: Người dùng nên giả định rằng bất kỳ tiền điện tử nào lưu trữ trong các ví đã kết nối trước đó với Trust Wallet phiên bản 2.68 đều đang gặp rủi ro, và việc chuyển sang các phương án an toàn hơn ngay lập tức là cần thiết.