置顶
Gate 广场创作者新春激励正式开启，发帖解锁 $60,000 豪华奖池
如何参与：
报名活动表单：https://www.gate.com/questionnaire/7315
使用广场任意发帖小工具，搭配文字发布内容即可
丰厚奖励一览：
发帖即可可瓜分 $25,000 奖池
10 位幸运用户：获得 1 GT + Gate 鸭舌帽
Top 发帖奖励：发帖与互动越多，排名越高，赢取 Gate 新年周边、Gate 双肩包等好礼
新手专属福利：首帖即得 $50 奖励，继续发帖还能瓜分 $10,000 新手奖池
活动时间：2026 年 1 月 8 日 16:00 – 1 月 26 日 24:00（UTC+8）
详情：https://www.gate.com/announcements/article/49112来Gate广场发帖分享你的GateAI 使用感受，赢丰厚奖励！
🎁 精选10 位幸运用户，每人奖励 $10 仓位体验券！
📌 如何参与？
1️⃣ 关注 Gate 广场_Official
2️⃣ 在广场发帖，带上话题 #我的GateAI使用体验，帖文需附上使用GateAI页面的截图
3️⃣ 创作内容表达使用感受、建议等不限
3️⃣ 帖子内容 不少于 30 字，且仅带本活动话题标签
GateAI上线详情：https://www.gate.com/announcements/article/49070
活动截止时间：2026/01/15 18:00（UTC+8）
快来广场分享你的 GateAI 使用感受吧 🚀每天看行情、刷大佬观点，却不发声？你的观点可能比你想的更有价值！
广场新人 & 回归福利进行中！首次发帖或久违回归，直接送你奖励！
每月 $20,000 奖金等你瓜分！
在广场带 #我在广场发首帖 发布首帖或回归帖即可领取 $50 仓位体验券
月度发帖王和互动王还将各获额外 50U 奖励
你的加密观点可能启发无数人，开始创作之旅吧！
👉️ https://www.gate.com/postGate 广场「创作者认证激励计划」优质创作者持续招募中！
立即加入，发布优质内容，参与活动即可瓜分月度 $10,000+ 创作奖励！
认证申请步骤：
1️⃣ 打开 App 首页底部【广场】 → 点击右上角头像进入个人主页
2️⃣ 点击头像右下角【申请认证】，提交申请等待审核
立即报名：https://www.gate.com/questionnaire/7159
豪华代币奖池、Gate 精美周边、流量曝光等超 $10,000 丰厚奖励等你拿！
活动详情：https://www.gate.com/announcements/article/47889Gate 2025 年终盛典｜广场 TOP50 榜单正式公布！
冲榜关键期已开启，看直播、发帖即可获得助力值
30 助力值 = 1 票，快来为你喜爱的创作者投票
👉 https://www.gate.com/activities/community-vote-2025
iPhone 17 Pro Max、京东 E 卡、小米手环、Gate 独家周边、仓位体验券等你赢！
内容达人也欢迎积极发帖拉票，冲榜赢取荣誉与奖励！
投票截止：1 月 20 日 10:00（UTC+8）
详情：https://www.gate.com/announcements/article/48693
Trust Wallet 浏览器扩展如何耗尽资产——逐步解析
安全事件的全过程：从安装到盗窃
2024年12月标志着浏览器钱包安全的转折点。 一次看似正常的Trust Wallet浏览器扩展更新中隐藏了逻辑，系统性地抽干了用户账户——数百万美元在几分钟内被盗。
第一阶段：可疑的更新
12月24日，扩展发布了一个新版本。表面上看毫无异常：
这次欺骗非常成功。没有人立即察觉这不是普通的维护更新。
第二阶段：JavaScript文件中的隐藏代码变更
分析扩展文件的安全研究人员发现，4482.js中出现了新逻辑。这是第一个警示信号。在钱包扩展中，任何新的外发通信都应受到严格审查——但这里被突破了防线。
第三阶段：伪装成合法的分析代码
恶意逻辑巧妙伪装：
这种设计大大增加了发现的难度。简单的测试可能无法检测出可疑代码。
第四阶段：关键触发点——种子短语导入
逆向工程分析表明，逻辑在用户导入种子短语时触发。这是攻击者的完美时机——因为：
仅使用现有钱包的用户可能绕过了这个触发器。
第五阶段：数据外泄到伪造域名
当条件满足时，代码声称将钱包数据发送到一个外部服务器：
metrics-trustwallet[.]com
欺骗非常完美：
第六阶段：自动化资金转移
用户导入种子短语后不久，数千个钱包被清空：
链上数据显示出自动化的模式——攻击者拥有足够的控制权，能自行签署交易。
第七阶段：通过多个钱包进行资金集中
被盗资金通过多个攻击者账户流转。这不是巧合：
根据追踪的交易，整体估计数百万美元。
第八阶段：快速抹除痕迹
社区发出警报后：
这是典型的攻击者行为：一旦基础设施被攻破，就会立即摧毁。
第九阶段：官方迟到的确认
Trust Wallet最终确认：
但仍有疑问：
这些疑问激起了各种猜测。
我们已知的事实
✓ 一次浏览器扩展更新引入了可疑的外发连接 ✓ 用户在导入种子短语后立即丢失资金 ✓ 事件仅限于特定版本 ✓ Trust Wallet确认了安全漏洞
强烈的线索指向
→ 供应链中的恶意代码注入 → 种子短语或签名能力被攻破 → 分析代码被用作武器
尚未揭示的问题
? 代码是否被故意植入或在上游被攻破 ? 受影响用户的确切数量 ? 攻击者的身份 ? 是否还有其他敏感数据被外泄
为何此事件影响整个行业
此事件不是普通的钓鱼攻击。它显示了：
浏览器扩展的脆弱性——它们可以访问私钥和种子短语。一个小的代码错误或漏洞都可能造成灾难。
盲目信任更新的风险——用户自动安装更新，未检查代码。更新成为完美的攻击载体。
分析代码如何被滥用——遥测功能看似合法，却可能窃取敏感数据。
最关键的时刻：种子短语管理——导入种子短语是钱包使用中最危险的环节。
一个短暂的漏洞或故意布置的弱点就能在几分钟内盗走数百万。
教训： 在加密安全中，没有小事。每次更新都应谨慎对待，而非盲目信任。