ثغرة خطيرة في امتداد Trust Wallet: كيف أصبحت $6 مليون في العملات الرقمية في خطر ولماذا أصبحت النسخة 2.69 ضرورة ملحة

ما حدث: قام باحثو البلوكشين والمستخدمون هذا الأسبوع بتوثيق خسارة جماعية للأموال مرتبطة بإصدار واحد من إضافة المتصفح لمحفظة غير حاكمة شهيرة. وفقًا لتقديرات المحللين، بلغت الخسائر أكثر من $6 مليون على شبكات بلوكشين مختلفة، ووصل عدد المحافظ المتضررة إلى عدة مئات. استجابت الشركة بسرعة، بحذف الإصدار المسبب وإصدار تصحيح حاسم.

إضافة Trust Wallet: متى أصبحت الأمان عرضة للخطر

أعلنت الشركة رسميًا عن اكتشاف ثغرة أمنية حرجة كانت تؤثر حصريًا على إصدار 2.68 من الإضافة. دفعت المشكلة إلى تعطيل الإضافة بشكل عاجل وتحديثها إلى الإصدار 2.69، المتوفر عبر متجر Chrome Web الرسمي.

ومن الجدير بالذكر أن العيب لم يؤثر على:

• مستخدمي إصدار الهاتف المحمول من المحفظة
• مستخدمي سطح المكتب بإصدارات أخرى من الإضافة
• البنية التحتية الأساسية للمنصة

وجهت الشركة المستخدمين إلى التوقف فورًا عن استخدام الإصدار 2.68 والامتناع عن فتح الإضافة حتى يتم تثبيت التصحيح.

اللصوص يسرقون الأموال فورًا بعد التفويض

أول إشارة إلى المشكلة جاءت من باحثين مستقلين لاحظوا تحركات غير طبيعية للأصول من قبل مستخدمين تفاعلوا مؤخرًا مع الإضافة في Chrome. أبلغ المتضررون أن أموالهم تم سحبها على الفور بعد تفويض العملية في الإضافة.

شملت عمليات السرقة عدة شبكات بلوكشين:

• إيثيريوم وشبكات متوافقة مع EVM
• سولانا
• بيتكوين

قرب توقيت إصدار الإصدار 2.68 وتفعيل عمليات السرقة أشار إلى علاقة سببية مباشرة. على الرغم من أن Trust Wallet لم تكشف عن الأرقام الدقيقة، إلا أن الباحثين اكتشفوا حوالي مئة حساب مع نفقات غير طبيعية.

الشبهة في اختراق سلسلة التوريد

يعبر خبراء الأمن عن فرضية أن الشيفرة الخبيثة قد تكون دخلت خلال عملية تطوير أو توزيع الإصدار 2.68. إذا تمكن المهاجمون من التأثير على مرحلة جمع أو توزيع الإضافة، لكانوا قد حصلوا على وصول لالتقاط عمليات حاسمة في المحفظة — مثل توقيع المعاملات أو تأكيد الجلسات.

تتوافق هذه النظرية مع التحويلات المجهولة التي رصدها المستخدمون لعناوين غير معروفة دون وجود أية أنماط غير طبيعية أخرى. وأبلغت Trust Wallet عن بدء التحقيق مع وعد بكشف نتائج أكثر تفصيلًا لاحقًا.

خطوات للمستخدمين

نصحت المحفظة باتخاذ إجراءات عاجلة:

• تعطيل إضافة Trust Wallet في Chrome
• تفعيل وضع المطور
• الانتقال قسرًا إلى الإصدار 2.69
• تأكيد رقم الإصدار قبل الاستخدام المستمر

وشددت الشركة على أهمية تحميل التحديثات فقط من خلال المتجر الرسمي لـ Chrome، وعدم الاعتماد على مصادر بديلة.

ثغرة نظامية في عالم محافظ العملات الرقمية

يكشف هذا الحدث عن مشكلة أعمق: حتى المحافظ غير الحاكمة يمكن أن تصبح هدفًا إذا تم اختراق قنوات توزيعها. تمثل إضافات المتصفح خطرًا خاصًا:

• لديها وصول مباشر إلى المفاتيح الخاصة وطلبات التأكيد
• تعمل في بيئات معرضة للاحتيال والبرمجيات الخبيثة
• تتطلب تحديثات متكررة، مما يوسع مساحة الهجمات

على عكس ثغرات العقود الذكية، فإن اختراق المحفظة لا يتضمن آليات حماية على السلسلة، وتبقى الخسائر غير قابلة للاسترداد. مع وجود أكثر من 220 مليون مستخدم حول العالم لـ Trust Wallet، فإن مشكلة محدودة بإصدار واحد فقط يمكن أن تترك أثرًا طويل الأمد على السمعة.