#私钥与钱包安全漏洞 Esta questão do Trust Wallet deixou-me um pouco desconfortável. A backdoor na versão 2.68, que resultou em mais de 6 milhões de dólares em perdas, foi planejada desde 8 de dezembro, e só na véspera de Natal os atacantes começaram a agir — esta técnica é demasiado profissional, claramente um ataque direcionado de nível APT.

Lembram-se daquela onda de ataques a exchanges em 2018? Na altura, ainda discutíamos entre cold wallets e hot wallets. Agora, olhando para trás, o verdadeiro risco nunca esteve na carteira em si, mas na tubulação invisível do código. A reputação de código aberto do Trust Wallet acabou por se tornar a melhor cobertura para os atacantes — eles alteraram a lógica do serviço de análise no código-fonte, usaram bibliotecas legítimas como o PostHog para roubar informações, e enganaram os utilizadores com um domínio falso metrics-trustwallet.com. Isto já não é uma simples vulnerabilidade de segurança, é uma infiltração completa na cadeia de fornecimento.

Na blockchain do Bitcoin, foram perdidos 33 BTC, na Ethereum e Solana cerca de 3 milhões cada. O mais doloroso é que esses ativos roubados estão agora a circular por DEXs e pontes cross-chain. Os atacantes claramente conhecem bem os métodos de rastreamento na cadeia.

O que mais me impressionou foi a linha do tempo: a instalação da backdoor em 22 de dezembro, e as transferências começando em 25 de dezembro. No dia de Natal, quantos utilizadores estavam imersos na alegria festiva, sem imaginar que as suas frases de recuperação já estavam nos servidores dos hackers? Essa é a ironia da história — cada grande incidente de segurança repete a mesma lição: quanto maior a confiança, menor a vigilância, maior o custo.

A minha recomendação é direta: se usas uma carteira de extensão, já devias estar a desconectar-te da internet para fazer uma verificação. Exporta imediatamente a tua chave privada, desinstala a versão antiga, e transfere os fundos para outra carteira. Não esperes, não te arrisques na sorte. Este incidente mostra que até os projetos mais conhecidos podem ser infiltrados, e que nenhuma auditoria de código é infalível. Em 2025, a segurança das carteiras deve ser levada ao extremo da obsessão.