A extensão Trust Wallet retorna ao Chrome após exploração de vulnerabilidade de US$ 8,5 milhões

A extensão para navegador da Trust Wallet retornou à Chrome Web Store após uma remoção temporáriaforçadapor um ataque sofisticado que comprometeu aproximadamente US$ 8,5 milhões em ativos digitais em dezembro.

A plataforma publicou no X, afirmando: "A versão 2.71.0 já está disponível e inclui suporte para código de verificação de atendimento ao cliente para auxiliar no processo de reclamações."

A diretora executiva da Trust Wallet, Eowyn Chen, pediu calma em 31 de dezembro, publicando no X: “Alguns podem ter notado que a extensão do navegador @trustwallet está temporariamente indisponível na Chrome Web Store. Encontramos um bug na Chrome Web Store ao lançar uma nova versão que inclui um recurso para ajudar os solicitantes de reembolso a enviar códigos de verificação de sua extensão — isso nos ajuda a verificar melhor a propriedade da carteira para os usuários afetados, separadamente do hacker/golpista.”

O Google reconheceu o problema e está encaminhando-o internamente para os níveis superiores. Esperamos resolvê-lo em breve

Chen também alertou os usuários para que permaneçam vigilantes quanto a versões falsas da extensão.

Ataque durante o feriado drena os ativos de milhares de usuários da Trust Wallet.

No ataque ocorrido em dezembro, os invasores lançaram uma versão maliciosa (2.68) da extensão de navegador da Trust Wallet na véspera de Natal. Usuários desavisados ​​foram surpreendidos quando seus fundos foram drenados durante um período de aproximadamente dois dias, entre 25 e 26 de dezembro.

Segundo a Trust Wallet, 2.520 endereços de carteira foram afetados em diversas redes blockchain.

A plataforma de carteiras de criptomoedas também acrescentou que tem grande confiança de que a vulnerabilidade está ligada ao ataque à cadeia de suprimentos Shai-Hulud, ocorrido em novembro, que teve como alvo o registro de software npm e afetou milhares de repositórios em todo o setor.

Pesquisadores de segurança observaram que os atacantes demonstraram um planejamento sofisticado, tendo preparado sua infraestrutura até 8 de dezembro, mais de duas semanas antes de implantar a extensão comprometida.

Pesquisadores de segurança do tipo "chapéu ético" tentaram mitigar os danos lançando ataques distribuídos de negação de serviço (DDoS) contra a infraestrutura dos invasores, ajudando a limitar o número de vítimas adicionais após a descoberta da violação.

Inicialmente, a Trust Wallet lançou a versão 2.69 para substituir a versão comprometida 2.68, incentivando os usuários a baixá-la; no entanto, essa nova versão apresentava um bug, como Chen apontou.

Reivindicações fraudulentas complicam o plano de reembolso

A Trust Wallet, que pertence à Binance , mas opera como uma entidade separada, garantiu aos usuários que apenas a extensão para navegador foi afetada. A empresa insistiu que as versões para dispositivos móveis não foram afetadas durante todo odent.

Binance Changpeng Zhao, confirmou o plano da empresa de reembolsar integralmente todas as vítimas verificadas.

No entanto, de acordo com Chen, a Trust Wallet teve que revisar seu processo de reclamações para torná-lo mais rigoroso após receber mais de 5.000 reclamações, apesar de terdentapenas 2.596 endereços de carteira afetados.

Numa publicação no X datada de 28 de dezembro, Chen reconheceu o número irregular de pessoas que apresentaram pedidos de indenização, escrevendo: "Nossa equipe está trabalhando diligentemente para verificar as reivindicações, combinando múltiplos pontos de dados para distinguir vítimas legítimas de agentes maliciosos."

Chen explicou que o recurso de código de verificação da extensão recém-restaurada permitirá que a Trust Wallet distinga solicitações genuínas de envios fraudulentos ou duplicados.