Qué sucedió exactamente en el incidente de Trust Wallet
Paso 1: Se lanzó una nueva actualización de la extensión del navegador
Una nueva actualización para la extensión del navegador de Trust Wallet fue lanzada el 24 de diciembre.
-
La actualización parecía rutinaria.
-
No venía con advertencias de seguridad importantes.
-
Los usuarios la instalaron a través del proceso de actualización habitual.
En este punto, nada parecía sospechoso.
Paso 2: Se añadió nuevo código a la extensión
Después de la actualización, los investigadores que examinaban los archivos de la extensión notaron cambios en un archivo JavaScript conocido como 4482.js.
Observación clave:
Esto importa porque las wallets del navegador son entornos muy sensibles; cualquier nueva lógica de salida representa un alto riesgo.
Paso 3: El código se disfrazó como "Analytics"
La lógica añadida apareció como código de análisis o telemetría.
Específicamente:
-
Parecía lógica de seguimiento utilizada por SDKs de análisis comunes.
-
No se activaba todo el tiempo.
-
Se activaba solo bajo ciertas condiciones.
Este diseño hizo más difícil su detección durante las pruebas casuales.
Paso 4: Condición de activación — Importar una frase de recuperación
La ingeniería inversa de la comunidad sugiere que la lógica se activaba cuando un usuario importaba una frase de recuperación en la extensión.
Por qué esto es crítico:
-
Importar una frase de recuperación otorga a la wallet control total.
-
Este es un momento único de alto valor.
-
Cualquier código malicioso solo necesita actuar una vez.
Los usuarios que solo usaban wallets existentes pueden no haber activado esta ruta.
Paso 5: Los datos de la wallet fueron enviados externamente
Cuando ocurrió la condición de activación, el código supuestamente envió datos a un endpoint externo:
metrics-trustwallet[.]com
Lo que generó alarmas:
-
El dominio se parecía mucho a un subdominio legítimo de Trust Wallet.
-
Fue registrado solo días antes.
-
No estaba documentado públicamente.
-
Posteriormente se desconectó.
Al menos, esto confirma una comunicación de salida inesperada desde la extensión de la wallet.
Paso 6: Los atacantes actuaron inmediatamente
Poco después de las importaciones de frases de recuperación, los usuarios reportaron:
-
Wallets vaciadas en minutos.
-
Múltiples activos movidos rápidamente.
-
No se necesitó más interacción del usuario.
El comportamiento on-chain mostró:
-
Patrones de transacciones automatizadas.
-
Múltiples direcciones de destino.
-
No había un flujo de aprobación de phishing obvio.
Esto sugiere que los atacantes ya tenían suficiente acceso para firmar transacciones.
Paso 7: Los fondos fueron consolidados en diferentes direcciones
Los activos robados fueron enrutados a través de varias wallets controladas por atacantes.
Por qué esto importa:
-
Sugiere coordinación o scripting.
-
Reduce la dependencia de una sola dirección.
-
Coincide con el comportamiento visto en exploits organizados.
Las estimaciones basadas en direcciones rastreadas sugieren que se movieron millones de dólares, aunque los totales varían.
Paso 8: El dominio se oscureció
Después de que aumentó la atención:
-
El dominio sospechoso dejó de responder.
-
No siguió ninguna explicación pública de inmediato.
-
Las capturas de pantalla y la evidencia en caché se volvieron cruciales.
Esto es consistente con atacantes destruyendo infraestructura una vez expuestos.
Paso 9: El reconocimiento oficial llegó después
Trust Wallet confirmó posteriormente:
-
Un incidente de seguridad afectó a una versión específica de la extensión del navegador.
-
Los usuarios móviles no fueron afectados.
-
Los usuarios deberían actualizar o deshabilitar la extensión.
Sin embargo, no se dio un desglose técnico completo de inmediato para explicar:
-
Por qué existía el dominio.
-
Si las frases de recuperación fueron expuestas.
-
Si fue un problema interno, de terceros o externo.
Esta brecha alimentó la especulación continua.
Qué está confirmado
-
Una actualización de la extensión del navegador introdujo un nuevo comportamiento de salida.
-
Los usuarios perdieron fondos poco después de importar frases de recuperación.
-
El incidente se limitó a una versión específica.
-
Trust Wallet reconoció un problema de seguridad.
Qué se sospecha fuertemente
-
Un problema de cadena de suministro o inyección de código malicioso.
-
Frases de recuperación o capacidad de firma expuestas.
-
La lógica de análisis siendo mal utilizada o armada.
Qué aún se desconoce
-
Si el código fue intencionalmente malicioso o comprometido upstream.
-
Cuántos usuarios fueron afectados.
-
Si se tomaron otros datos.
-
La atribución exacta de los atacantes.
Por qué importa este incidente
Esto no fue un phishing típico.
Destaca:
-
El peligro de las extensiones del navegador.
-
El riesgo de confiar ciegamente en las actualizaciones.
-
Cómo el código de análisis puede ser mal utilizado.
-
Por qué manejar frases de recuperación es el momento más crítico en la seguridad de la wallet.
Incluso una vulnerabilidad de corta duración puede tener consecuencias graves.
Fuente: https://www.livebitcoinnews.com/trustwallet-hack-explained-from-update-to-wallet-drains-worth-16m-in-twt-btc-eth/
