Trust Wallet 黑客代碼漏洞：$6M 透過惡意擴展在加密貨幣中被盜取

一個針對Trust Wallet用戶的高級攻擊事件已導致超過$6 百萬美元的數字資產被盜，暴露了加密錢包領域中最嚴重的安全漏洞之一。此次攻擊涉及將駭客代碼直接嵌入瀏覽器擴展的源代碼中——安全研究人員將此發展分類為一個高級持續性威脅(APT)行動。

駭客代碼如何利用Trust Wallet用戶

2025年12月8日，攻擊者註冊了惡意域名metrics-trustwallet.com。兩週後，即12月21-22日，安全研究人員偵測到首次數據外洩嘗試。駭客代碼通過一個看似簡單卻有效的機制運作：當用戶解鎖其Trust Wallet瀏覽器擴展(版本2.68)時，惡意代碼會攔截他們的加密種子短語。

此漏洞並非由受損的第三方庫或依賴引入——相反，攻擊者直接將惡意代碼注入Trust Wallet的內部代碼庫。這一點至關重要：它暗示威脅行為者在攻擊公開前數週已獲得對Trust Wallet開發基礎設施或部署系統的存取權。

攻擊方法依賴於竊取用戶在解鎖錢包時輸入的密碼或通行鍵，利用這些資訊解密出用戶的助記詞，並將其傳送到攻擊者的指揮控制伺服器(api.metrics-trustwallet[.]com)，使駭客能完全控制被攻陷的錢包。

攻擊內部：惡意駭客代碼的技術分析

安全研究人員SlowMist通過比較Trust Wallet擴展的版本2.67與2.68，進行了詳細分析，揭示了駭客代碼在應用層的具體運作方式。

惡意載荷會遍歷擴展中存儲的所有錢包，並發出請求以提取用戶的加密助記詞。一旦獲取，代碼會使用用戶在解鎖時輸入的認證資料來解密該短語。如果解密成功——這對所有合法用戶都會如此——則會自動將暴露的助記詞傳送到攻擊者的伺服器。

這種駭客代碼的複雜程度顯示出專業級的開發能力。攻擊者利用合法的PostHogJS分析庫作為掩護，將合法的分析數據重定向到他們的惡意基礎設施。這一技術使駭客代碼能與正常的錢包操作融為一體，避開即時偵測。

動態分析顯示，一旦解密，助記詞數據會嵌入網路請求的錯誤訊息欄位——這是一種巧妙的混淆技術，使竊取的憑證能在網路流量中傳輸而不立即引起警覺。BurpSuite的流量分析確認，竊取的恢復短語在傳送到攻擊者伺服器前，始終包裝在errorMessage欄位中。

追蹤被盜資產與攻擊者基礎設施

根據安全研究員zachxbt披露的資料，這次盜竊在多個區塊鏈上造成了重大損失：

• 比特幣區塊鏈：約33 BTC被盜，按2026年1月的匯率約合$2.96百萬美元(每BTC $89.57K)
• 以太坊及Layer 2網路：約$3 百萬美元的合計損失
• Solana區塊鏈：約$431 被盜
• 其他網路：來自不同區塊鏈生態系的額外損失

事後分析顯示，攻擊者立即開始通過去中心化橋接和多個中心化交易所轉移和兌換被盜資產，可能試圖掩蓋資金來源並增加追蹤難度。

惡意域名於2025年12月8日UTC時間02:28:18由域名註冊商NICENIC INTERNATIONA註冊。域名註冊與首次數據外洩嘗試之間的時間差，強烈暗示這是一個經過精心協調的行動——駭客代碼並非匆忙部署，而是整體策劃的一部分。

立即行動：如何防範類似的代碼攻擊

Trust Wallet的開發團隊確認了版本2.68中的漏洞，並發布了緊急安全公告。官方建議包括以下關鍵措施：

如果你使用Trust Wallet的瀏覽器擴展：

1. 立即斷開網路連接——這應該是你在進行任何故障排除前的第一步。保持連線，即使錢包可能已被入侵，也會增加資產完全損失的風險。

2. 離線導出你的私鑰或助記詞，然後立即卸載Trust Wallet擴展。切勿在任何情況下重新啟用版本2.68。

3. 在將資金轉移到全新、安全的錢包（如不同的錢包應用、硬體錢包或新生成的恢復短語的帳戶）後，才升級到版本2.69。

4. 盡快將所有資金轉移到新錢包地址。任何留在先前通過受感染版本2.68存取的錢包中的加密貨幣都應視為有風險。

此駭客代碼漏洞影響所有安裝了版本2.68的用戶，無論他們是否積極使用擴展——因為惡意載荷在錢包解鎖時會自動執行。

為何這是一個APT級別的駭客代碼威脅

安全分析師將此攻擊歸類為高級持續性威脅(APT)，原因有幾個令人信服的點。首先，範圍與協調性表明這是專業的威脅行為者，而非偶然的駭客。其次，攻擊者明顯已存取Trust Wallet的開發或部署系統，暗示這是一個針對基礎設施的定向攻擊，而非僅是公開的錢包應用。

駭客代碼的精確性——能針對特定的錢包解鎖機制、解密受保護的短語並通過看似合法的分析請求外洩數據——展現了高端的技術能力。域名註冊與攻擊被偵測之間長達一個月的時間差，也顯示出精心策劃與情報收集。

這一事件強烈提醒我們，即使是資源豐富、成熟的項目也可能成為高級供應鏈攻擊的目標。駭客代碼並非外部威脅，而是作為合法應用的一部分，讓終端用戶難以察覺，直到安全研究人員發現異常。

重要提醒：用戶應假設所有曾經連接Trust Wallet版本2.68的加密貨幣資產都處於風險中，並立即轉移到安全的替代方案。