Trust Wallet v2.68 Вразливість у безпеці: чому внутрішній контроль доступу може бути справжнім винуватцем

Мільйонний інцидент безпеки, що торкнувся розширення Trust Wallet для Chrome, знову підняв дискусію про вразливості браузерних розширень, оскільки з’явилися нові докази, що вказують на компрометацію внутрішнього доступу, а не лише зовнішнього злома.

Анатомія атаки

Trust Wallet підтвердив 26 грудня, що його версія розширення для браузера 2.68 була зламаною, що спричинило приблизно $7 мільйонів збитків користувачам. Важливо, що компанія заявила, що користувачі мобільних гаманців та інші версії розширень залишилися неушкодженими — цей факт суттєво звужує зону уразливості і натякає на цілеспрямовану проблему розповсюдження, а не на фундаментальну помилку протоколу.

Компанія взяла на себе зобов’язання повністю компенсувати постраждалим користувачам і наразі завершує процедури виплат. Користувачам слід бути обережними щодо фішингових схем, що маскуються під офіційні служби підтримки, у цей період.

Внутрішня робота чи помилка безпеки?

Аналітики галузі звернули увагу на важливу технічну деталь: для публікації розширень у Chrome Web Store потрібні криптографичні ключі підпису, облікові дані розробника та багатоступінчасті процеси затвердження. Щоб зловмисний збірник пройшов ці контролі, ймовірно, мова йде про:

• Компрометацію облікових даних розробника $7 крадені API-ключі або токени автентифікації(
• Прямий внутрішній доступ до процесу релізу )хтось із легітимними повноваженнями на розгортання(

Обидва сценарії вказують на слабкі місця операційної безпеки, а не на вразливості нульового дня. За повідомленнями, слідчі підкреслюють, що теорія внутрішнього доступу залишається головною гіпотезою, натякаючи, що хтось із легітимними привілеями міг сприяти цій атаці.

Ця оцінка має особливу вагу, оскільки подібні високопрофільні інциденти з браузерними розширеннями за минулий рік виникали через компрометацію облікових записів розробників або захоплення процесів релізу — формуючи шаблон у галузі.

Реакція ринку TWT та відновлення

Рідний токен Trust Wallet, TWT, зазнав волатильності у перші години після інциденту. Після перших повідомлень 25 грудня ціна різко впала, оскільки інвестори опрацьовували новини. До 26 грудня, після того, як компанія оголосила про обмежені збитки і пообіцяла повне відшкодування, TWT стабілізувався і почав відновлюватися.

Станом на 12 січня 2026 року TWT торгується за $0.89 із зниженням за 24 години на -0.85%, що свідчить про збереження обережності, але й про те, що ринок вже врахував основний ризик.

Ширші галузеві наслідки

Цей інцидент підкреслює нову реальність: оскільки децентралізовані гаманці все більше залежать від браузерних розширень, питання безпеки механізмів оновлення та управління внутрішніми ризиками стають пріоритетними. Традиційні вразливості програмного забезпечення вже не є головним вектором атаки — контроль доступу, гігієна облікових даних і процеси управління тепер становлять критичний фронт.

Злом Trust Wallet слугує нагадуванням, що навіть технічно міцні протоколи можуть зазнати провалу, якщо людські системи — автентифікація, авторизація та нагляд — зламані. Галузі можливо доведеться рухатися у напрямку децентралізованої перевірки оновлень і багатопідписних процесів затвердження релізів, щоб суттєво зменшити цю зону уразливості.