Уязвимость безопасности Trust Wallet v2.68: Почему внутренний контроль доступа может быть настоящим виновником

Мошеннический инцидент на сумму $7 миллионов, связанный с расширением Trust Wallet для Chrome, вновь разжег дебаты о уязвимостях браузерных расширений, при этом новые данные указывают скорее на внутренний доступ, чем на внешнее взлом, как основную причину.

Анатомия атаки

Trust Wallet подтвердил 26 декабря, что его расширение для браузера версии 2.68 было скомпрометировано, в результате чего пользователи понесли убытки примерно на $7 миллионов. Критически важно, что компания заявила о сохранности мобильных кошельков и других версий расширений — этот факт значительно сокращает поверхность атаки и указывает скорее на проблему целенаправленной распространения, чем на фундаментальную уязвимость протокола.

Компания взяла на себя обязательство полностью возместить ущерб пострадавшим пользователям и в настоящее время завершает процедуры компенсации. Пользователям рекомендуется оставаться бдительными и избегать фишинговых схем, выдающих себя за официальную поддержку, в этот период.

Внутренний сговор или ошибка безопасности?

Аналитики отрасли обратили внимание на важную техническую деталь: для публикации расширений в Chrome Web Store требуются криптографические ключи, учетные данные разработчика и многоэтапные процедуры утверждения. Чтобы вредоносная сборка прошла эти проверки, вероятнее всего, имело место:

• Скомпрометированные учетные данные разработчика (украденные API-ключи или токены аутентификации)
• Прямой внутренний доступ к процессу релиза (кто-то с легитимными полномочиями на деплой)

Оба сценария указывают скорее на слабости операционной безопасности, чем на уязвимости нулевого дня. По данным следователей, гипотеза внутреннего доступа остается ведущей, предполагая, что кто-то с легитимными системными привилегиями мог способствовать атаке.

Эта оценка особенно важна, учитывая, что аналогичные инциденты с браузерными расширениями за последний год возникали из-за компрометации учетных записей разработчиков или захвата процессов релиза — формируя закономерность в отрасли.

Реакция рынка TWT и восстановление

Родной токен Trust Wallet, TWT, испытал волатильность в первые часы после инцидента. После первых сообщений 25 декабря цена резко упала по мере усвоения информации инвесторами. К 26 декабря, после объявления компании о минимальных потерях и обещаниях полного возмещения, TWT стабилизировался и начал восстанавливаться.

По состоянию на 12 января 2026 года TWT торгуется по цене $0.89 с дневным снижением -0.85%, что отражает сохраняющуюся осторожность, но также указывает на то, что рынок в основном учел текущие риски.

Общие отраслевые последствия

Этот инцидент подчеркивает новую реальность: по мере того, как децентрализованные кошельки все больше зависят от браузерных расширений, безопасность механизмов обновления и управление внутренними рисками становятся приоритетными задачами. Традиционные уязвимости программного обеспечения уже не являются единственной угрозой — контроль доступа, гигиена учетных данных и процессы управления теперь представляют собой ключевые точки уязвимости.

Взлом Trust Wallet служит напоминанием о том, что даже самые технически надежные протоколы могут потерпеть неудачу, если системы аутентификации, авторизации и надзора будут скомпрометированы. Отрасль, возможно, должна перейти к децентрализованной проверке обновлений и многоподписному утверждению релизов, чтобы существенно снизить эту поверхность атаки.