La extensión del navegador Trust Wallet sufrió un ataque en la cadena de suministro en la versión 2.68. El hacker interceptó con éxito la información de frases semilla importadas del usuario implantando código malicioso disfrazado de herramienta de análisis PostHog. En tan solo unas horas, cientos de carteras se vaciaron rápidamente, con pérdidas confirmadas que superaron los 7 millones de dólares.

La gravedad de este incidente radica en su sigilo: el código malicioso está disfrazado como una biblioteca común de análisis de datos y es difícil de detectar. El usuario víctima no tenía ni idea de que su frase semilla estaba siendo robada en tiempo real cuando importó la cartera.

Un funcionario de una de las principales bolsas intervino entonces, diciendo que compensaría plenamente a los usuarios víctimas y garantizaría la seguridad de los fondos. Este compromiso es una garantía oportuna.

Pero este incidente también puso de manifiesto un problema de la costumbre: aunque las carteras no custodiales afirman ser autocontroladas, las propias extensiones de navegador son en realidad de alto riesgo. Permisos excesivos de plugins, auditorías de código difíciles y muchos eslabones de la cadena de suministro: cualquier debilidad puede convertirse en un avance.

La lección más inmediata es:**Los hot wallets de los navegadores no son adecuados para almacenar grandes cantidades de dinero, y mucho menos para importar frases mnemónicas a voluntad**。 Las carteras frías y hardware son la postura correcta para el almacenamiento a largo plazo. Si tienes que usar una cartera caliente, también debes controlar estrictamente la cuota y retirar todo lo que uses. Además, también es importante revisar regularmente la versión del plugin y prestar atención a los anuncios oficiales de seguridad.

Esta oleada de incidentes recuerda una vez más a toda la comunidad que, aunque se cuida a uno mismo, también debe mantenerse al día.