Trust Wallet рождественское ограбление! ZachXBT предупреждает, что после обновления Chrome все были взломаны

12月 25 日聖誕節當天，多名 Trust Wallet 用戶醒來發現錢包資金未經授權就被轉走，損失金額不明。區塊鏈調查員 ZachXBT 在 Telegram 群組緊急發出警報，指出這些盜竊事件發生在 Trust Wallet Chrome 擴充功能 12 月 24 日更新後，時間點高度可疑。

聖誕攻擊時間軸：24 小時內的完美風暴

事件時間線顯示攻擊者精心策劃。12 月 24 日平安夜，Trust Wallet 向 Chrome Web Store 推送擴充功能更新，多數用戶在節日氣氛中自動或手動更新。12 月 25 日聖誕節早晨，美國東部時間約凌晨至上午時段，首批受害者發現資金異常轉出。ZachXBT 在接到多起報告後，於當地時間中午在 Telegram 發出公開警報，呼籲 Trust Wallet 用戶立即檢查錢包。

節日時機的選擇並非巧合。聖誕節期間，開發團隊人力減少，客服響應延遲，用戶警覺性降低，這為攻擊者創造了黃金窗口。類似策略在 2022 年 Slope 錢包攻擊中也曾出現，當時攻擊者利用週末時段盜取超過 8,000 個 Solana 錢包的資金。Trust Wallet 此次沉默更加劇了恐慌，用戶在社交媒體上抱怨無法聯繫官方獲得明確回應。

ZachXBT 在警報中特別強調「確切根本原因尚未確定」，但將矛頭指向 Chrome 擴充功能更新。這個細節至關重要，因為它將調查方向從用戶個人失誤轉向系統性漏洞。如果證實是擴充功能本身的問題，Trust Wallet 將面臨巨大法律和聲譽風險。目前，ZachXBT 正在收集受害錢包地址，試圖追蹤贓款流向並識別攻擊模式。

Chrome 擴充功能：加密錢包的特洛伊木馬

瀏覽器擴充功能的高權限特性使其成為攻擊者的理想目標。Chrome 擴充功能可以讀取和修改用戶訪問的所有網頁內容，攔截網絡請求，注入任意腳本，甚至訪問本地存儲。對於加密錢包擴充功能而言，這些權限意味著它們可以：捕獲用戶輸入的助記詞和私鑰，修改交易目標地址和金額，攔截簽名請求並替換交易數據，以及訪問存儲在瀏覽器中的加密會話。

安全研究人員多次警告，一次惡意更新或一個被竄改的依賴項都可能使數百萬用戶面臨風險。2023 年 11 月，一個名為「Ledger Connect Kit」的流行庫被攻擊者入侵，導致多個 DeFi 前端受到影響，用戶損失超過 48 萬美元。這次攻擊證明了供應鏈攻擊的威力：攻擊者不需要直接入侵錢包應用，只需控制其依賴的某個上游庫。

瀏覽器錢包的三大系統性風險

自動更新機制：擴充功能默認自動更新，用戶無法審查代碼變更即被迫接受新版本

權限濫用：合法擴充功能可能在更新中添加惡意代碼，利用已授予的廣泛權限竊取資產

依賴鏈漏洞：錢包依賴的第三方庫若被攻陷，將影響所有下游應用而用戶毫不知情

近幾個月已出現多起類似威脅。安全公司報告顯示，一些虛假錢包擴充程式專門設計用於竊取助記詞，攻擊者利用這些詞組完全重建錢包並在後續盜取資金。更隱蔽的攻擊來自惡意交易「助理」擴充功能，它們悄悄修改交易指令，每次用戶批准兌換時竊取少量加密貨幣，因金額微小往往不被察覺。

受害者應對與資產搶救指南

對於懷疑自己受影響的 Trust Wallet 用戶，時間至關重要。首要任務是立即檢查最近 48 小時的交易記錄，特別注意任何未經授權的代幣轉出、合約互動或授權簽名。若發現可疑交易，應立即採取以下行動：停用 Trust Wallet Chrome 擴充功能，前往 chrome://extensions 禁用或移除；撤銷所有 DeFi 授權，使用 Revoke.cash 或 Etherscan 的 Token Approvals 功能；創建全新錢包，使用新生成的助記詞而非舊錢包恢復；轉移剩餘資產到新錢包，但確保不使用可能已被監控的設備。

ZachXBT 建議受害者主動聯繫執法部門並提供詳細交易記錄。雖然加密貨幣盜竊案破案率不高，但建立正式記錄對於未來可能的集體訴訟或保險索賠至關重要。同時，用戶應在 ZachXBT 的 Telegram 群組或相關社群論壇報告受害情況，提供被盜金額和錢包地址，幫助調查人員建立完整攻擊圖譜。

對於尚未受影響的 Trust Wallet 用戶，預防措施包括：暫停使用 Chrome 擴充功能，改用移動應用或硬體錢包；檢查並撤銷不必要的 DeFi 合約授權；在情況明朗前避免簽署新的交易或授權；定期備份助記詞並存儲在離線環境；考慮將大額資產轉移到硬體錢包如 Ledger 或 Trezor。

Trust Wallet 官方回應缺位引發信任危機

截至發稿時，Trust Wallet 尚未發布正式聲明確認 Chrome 擴充功能更新是否是直接原因，也未提供技術細節或補償方案。這種沉默在加密社群引發強烈不滿。用戶在 X 平台和 Reddit 上抱怨無法聯繫客服，官方帳號對事件視而不見，甚至繼續發布節日祝福內容，與受害者的焦慮形成鮮明對比。

Trust Wallet 是幣安旗下的加密錢包，聲稱擁有數千萬用戶。如此規模的安全事件若被證實，將對其市場地位造成毀滅性打擊。過去，Slope 錢包在 2022 年私鑰洩露事件後用戶數暴跌超 70%，至今未恢復。Trust Wallet 若不能迅速透明地處理此次危機，可能面臨類似命運。