Trust Wallet: oltre 2.500 utenti colpiti da furto, come proteggere il tuo wallet oggi

Dettagli del furto e impatto sui wallet

Trust Wallet ha subito una compromissione che ha portato alla sottrazione di fondi da quasi 2.600 portafogli, con perdite stimate nell’ordine di milioni di dollari. Questo testo ricostruisce i particolari del furto e l’impatto sui wallet coinvolti, descrivendo quanti conti risultano colpiti, come sono stati identificati i casi effettivi rispetto ai reclami duplicati e quali tipologie di asset e importi risultano al momento segnalati dalle vittime e dalla società. Vengono inoltre evidenziate le discrepanze tra le cifre comunicate inizialmente e i numeri aggiornati emersi durante le verifiche interne.

Indice dei Contenuti:

La compromissione ha interessato **2.596 wallet** che, secondo le verifiche preliminari aziendali, hanno subito esfiltrazioni di credenziali sensibili e seed phrase. Le perdite segnalate dagli utenti variano considerevolmente: alcune segnalazioni indicano ammanchi contenuti, altre sottrazioni di importi significativi. La società ha inoltre ricevuto oltre 5.000 reclami, cifra che supera il numero di wallet compromessi, indicando la presenza di segnalazioni duplicate, tentativi di frode o errori di compilazione dei report.

Dal punto di vista degli asset, il furto non è circoscritto a un singolo token: risultano coinvolte criptovalute e token ERC-20 di uso comune nelle transazioni degli utenti. La variabilità degli importi sottratti ha reso necessaria una mappatura individuale dei wallet per stabilire l’entità del danno per ogni conto e verificare la spettanza di eventuali rimborsi. Le prime stime aziendali aggregate parlavano di circa 7 milioni di dollari; successivamente la dirigenza ha rilevato che le somme segnalate dagli utenti potrebbero portare il totale reale oltre tale soglia, con una forchetta di segnalazioni individuali tra 1,05 e 3,5 milioni di dollari in vari casi cumulativi.

La discrepanza tra numero di reclami e wallet effettivamente compromessi impone un processo di validazione rigoroso: verifica delle transazioni in uscita, controllo delle seed utilizzate, e confronto con i log delle versioni dell’estensione e dell’app. A tale scopo, Trust Wallet ha avviato il tentativo di correlare gli indirizzi degli asset trasferiti con le informazioni sulle versioni del software e le tempistiche di utilizzo. Questo approccio è finalizzato a distinguere le perdite realmente attribuibili all’incidente dell’estensione da quelle dovute ad altre cause, come phishing esterni o compromissioni pregresse.

Gli utenti interessati sono stati invitati a fornire prove di perdita dettagliate — estratti dalle transazioni, indirizzi coinvolti e timestamp — per consentire la ricostruzione forense e prioritizzare i casi per le verifiche. L’analisi preliminare ha inoltre rilevato tentativi di sfruttamento successivi alla pubblicazione della versione compromessa, con attori che hanno provato a sfruttare la visibilità del caso per inviare richieste fraudolente di rimborso. Per questo motivo la società sta mettendo in campo controlli anti-duplicazione e procedure di autenticazione rafforzata per la presa in carico delle segnalazioni.

FAQ

• Quanti wallet risultano compromessi? Al momento i wallet identificati come compromessi sono 2.596, secondo le verifiche interne di Trust Wallet.
• Qual è l’ammontare stimato delle perdite? Le prime stime aggregate parlavano di circa 7 milioni di dollari, ma le segnalazioni utente indicano che il totale reale potrebbe essere superiore.
• Perché ci sono più reclami che wallet compromessi? Molti reclami risultano duplicati, falsi o non correlati all’incidente dell’estensione; è in corso una verifica per validare le richieste.
• Quali tipi di asset sono stati rubati? Sono coinvolte diverse criptovalute e token ERC-20 comuni tra gli utenti di Trust Wallet.
• Come vengono validate le richieste di rimborso? Attraverso analisi forense delle transazioni, confronto dei timestamp e richiesta di prove documentali da parte degli utenti.
• Ci sono rischi di ulteriori furti per gli utenti? Sì: fino a quando i dispositivi e le credenziali non sono stati ripristinati in sicurezza, resta il rischio di ulteriori compromissioni.

Meccanismo dell’attacco e ruolo dell’estensione Chrome

Meccanismo dell’attacco e ruolo dell’estensione Chrome

La versione compromessa dell’estensione per Chrome ha agito come vettore primario dell’intrusione, introducendo nel codice un modulo JavaScript in grado di intercettare informazioni sensibili durante l’interazione dell’utente con il portafoglio. Quel codice malevolo raccoglieva dati quali le seed phrase e le chiavi private o altri elementi di autenticazione memorizzati temporaneamente nel browser, inoltrandoli a un dominio controllato dall’attaccante. L’esfiltrazione è avvenuta in modo silente durante l’utilizzo quotidiano: gli utenti hanno effettuato attività lecite come invii o consultazioni di bilancio e nel contempo le loro credenziali venivano catturate e trasferite all’esterno.

Il meccanismo sfruttava la fiducia implicita nell’estensione ufficiale: pubblicata sul Chrome Web Store e firmata come aggiornamento della release, la build malevola è stata distribuita come se fosse un normale aggiornamento. La presenza di una API key compromessa nel Chrome Web Store ha probabilmente permesso a terzi di caricare una release non autorizzata senza il controllo diretto del team di sviluppo. Una volta approvata e resa disponibile, la versione 2.68 ha colpito gli utenti che l’hanno installata o aggiornato il 24-26 dicembre, attivando le routine di cattura dati incluse nel file JavaScript aggiunto al pacchetto.

Dal punto di vista tecnico, l’attacco non ha richiesto exploit di zero-day né vulnerabilità del browser: si è basato su code injection nella supply chain dell’estensione. Il file malevolo intercettava eventi DOM e richieste di rete correlate alle operazioni del wallet, identificando pattern riconducibili a inserimento di seed phrase o firme delle transazioni. Questi elementi venivano poi serializzati e inviati al server di comando e controllo. L’efficacia dell’operazione è stata amplificata dalla rapidità con cui gli aggressori hanno rimosso tracce locali e dall’assenza iniziale di segnali evidenti per l’utente medio, rendendo la compromissione difficilmente rilevabile senza analisi forense del codice.

La natura dell’attacco evidenzia due criticità operative: la fragilità della catena di distribuzione delle estensioni e la difficoltà per gli utenti non tecnici di riconoscere una release compromessa. Trust Wallet ha reagito disattivando le API key e rilasciando una versione pulita, ma resta cruciale ricostruire la sequenza delle azioni che ha permesso il caricamento dell’estensione malevola sullo store. Anche l’ipotesi di un insider o di credenziali esposte per personale remoto è presa in seria considerazione, dato che l’accesso alle chiavi di pubblicazione è il punto di rottura che ha consentito la diffusione del codice infetto senza passare per i normali canali di controllo interno.

FAQ

• Come ha funzionato tecnicamente il malware nell’estensione? Il malware aggiunto all’estensione intercettava eventi del browser e dati inseriti dall’utente, serializzando seed phrase e chiavi e inviandole a un server controllato dall’attaccante.
• Perché l’estensione è passata il controllo del Chrome Web Store? Probabilmente è stata pubblicata con una API key compromessa o con credenziali abusive che hanno permesso la pubblicazione senza verifica completa da parte degli sviluppatori.
• L’attacco ha sfruttato una vulnerabilità del browser? No: si è trattato di una compromissione della supply chain dell’estensione, non di un exploit del browser stesso.
• Come potevano gli utenti accorgersi della presenza del codice malevolo? Per un utente medio era difficile riconoscerlo; segnali efficaci richiedono analisi del comportamento dell’estensione o verifiche forensi del codice.
• Qual è il ruolo di un possibile insider nell’incidente? Un insider con accesso alle credenziali di pubblicazione avrebbe potuto facilitare il caricamento della versione infetta sullo store, perciò l’ipotesi è oggetto di indagine.
• Cosa rende questo tipo di attacco particolarmente pericoloso? La combinazione di fiducia nell’estensione ufficiale, assenza di avvisi evidenti per l’utente e la capacità di catturare direttamente le seed phrase rende l’attacco altamente efficace nel consentire furti immediati e difficili da ricostruire.

Indagini, misure correttive e collaborazione con Google

Trust Wallet ha attivato una serie di accertamenti tecnici e procedurali volti a ricostruire la catena dell’infezione, identificare i responsabili e prevenire ulteriori diffusione del codice malevolo. Le indagini si concentrano su tre fronti: analisi forense del pacchetto dell’estensione, tracciamento delle comunicazioni verso il dominio di esfiltrazione e revisione delle credenziali di pubblicazione nel Chrome Web Store. Parallelamente è stato chiesto il supporto di Google per ottenere log e metadati relativi alla pubblicazione e ai cambi di versione, così da definire con precisione chi ha caricato la release incriminata e quando.

Gli ingegneri hanno isolato la build sospetta e sottoposto il codice a verifica approfondita per individuare gli artefatti lasciati dagli aggressori, come endpoint di comando e controllo, stringhe hardcoded e meccanismi di offuscamento. Per limitare i danni immediati, tutte le API key legate al canale di pubblicazione sono state disattivate e le versioni successive dell’estensione sono state firmate e rilasciate con procedura di controllo rafforzata. È stata anche ordinata la raccolta di dispositivi aziendali dei dipendenti remoti per eseguire analisi endpoint e verificare una possibile compromissione interna che possa aver facilitato l’accesso alle chiavi di pubblicazione.

La collaborazione con Google è intensa e operativa: Trust Wallet ha richiesto i log del Chrome Web Store, i record di accesso e le tracce delle API utilizzate per pubblicare la versione 2.68, nella speranza di ricostruire gli indirizzi IP, gli account e le tempistiche della submission. Questi dati sono cruciali per distinguere tra un attacco esterno che ha sfruttato credenziali rubate e una pubblicazione orchestrata da un soggetto interno. L’azienda ha inoltre comunicato a Google la necessità di bloccare eventuali ulteriori distribuzioni legate al dominio di esfiltrazione e di partecipare alle azioni di rimozione e mitigazione a livello di store.

Sul fronte legale e di compliance, Trust Wallet ha aperto canali con autorità competenti per segnalare il furto e per coordinare eventuali azioni contro gli autori dell’attacco. Le evidenze raccolte saranno utili sia per procedimenti penali sia per eventuali richieste di cooperazione internazionale, dato che le transazioni in criptovalute attraversano giurisdizioni multiple. L’azienda ha predisposto anche audit indipendenti della supply chain software per validare i processi di pubblicazione e introdurre controlli aggiuntivi come rotazione forzata delle chiavi, politiche di accesso basate su least privilege e revisione del controllo delle modifiche al codice.

Infine, sono state messe in campo misure di comunicazione e di supporto agli utenti: linee dedicate per la segnalazione dei casi, checklist tecniche per il ripristino della sicurezza dei wallet e richieste documentali per la validazione dei rimborsi. Il team di sicurezza continua a monitorare eventuali domini o wallet associati agli autori dell’attacco e a coordinare blocchi e segnalazioni ai provider di servizi cripto per limitare la monetizzazione dei fondi sottratti.

FAQ

• Quali log ha richiesto Trust Wallet a Google? Sono stati richiesti i log del Chrome Web Store, record di accesso e metadati relativi alla submission della versione incriminata per ricostruire tempistiche e origini della pubblicazione.
• Perché sono stati raccolti i dispositivi del personale remoto? Per eseguire analisi forensi sugli endpoint e verificare se credenziali o API key aziendali siano state compromesse da un possibile insider o da compromissione remota.
• Quali misure immediate sono state adottate per fermare la diffusione? Disattivazione di tutte le API key del canale di pubblicazione e rilascio di una versione pulita dell’estensione con firma e controlli rafforzati.
• Che tipo di audit sono previsti per la supply chain? Audit indipendenti focalizzati su processi di pubblicazione, controlli delle modifiche al codice e policy di gestione delle chiavi e degli accessi.
• In che modo le evidenze raccolte saranno utilizzate legalmente? Serviranno per supportare indagini penali, richieste di cooperazione internazionale e segnalazioni ai provider per tracciare e bloccare la monetizzazione dei fondi rubati.
• Come vengono aiutati gli utenti coinvolti nelle verifiche? Attraverso linee dedicate per le segnalazioni, checklist tecniche per il ripristino del wallet e istruzioni per fornire documentazione utile alla validazione dei rimborsi.

Valutazione delle perdite, reclami e procedure di rimborso

Valutazione delle perdite, reclami e procedure di rimborso

La quantificazione delle perdite e la gestione dei reclami richiedono un procedimento metodico e tracciabile per stabilire chi abbia diritto a un risarcimento. Trust Wallet ha avviato una valutazione caso per caso, basata su evidenze transazionali, timestamp coerenti con la finestra d’attacco e confronto con i log delle versioni dell’estensione. L’obiettivo è distinguere le perdite direttamente riconducibili alla versione 2.68 dalle segnalazioni non pertinenti, duplicate o fraudolente, assicurando che i rimborsi siano assegnati esclusivamente a utenti verificati mediante criteri forensi predeterminati.

La procedura prevede la raccolta obbligatoria di documentazione tecnica: indirizzi wallet coinvolti, hash delle transazioni uscenti, screenshot delle attività sospette, e ogni prova che possa correlare la perdita alla finestra temporale del 24-26 dicembre. Le richieste prive di elementi verificabili vengono sospese in attesa di ulteriori chiarimenti; i casi con evidenze solide vengono prioritizzati. Un team dedicato esegue la riconciliazione on-chain per tracciare i flussi di fondi e determinare l’esistenza di movimenti riconducibili ai domini o agli endpoint già identificati nelle indagini.

Per prevenire abusi, Trust Wallet ha introdotto controlli anti-duplicazione e sistemi di autenticazione rafforzata per i richiedenti. Ogni segnalazione è assegnata a un numero di pratica univoco e sottoposta a review multipla: una verifica tecnica iniziale, un controllo di coerenza temporale e una validazione legale-amministrativa prima dell’approvazione di qualsiasi rimborso. Questo processo mira a equilibrare la rapidità di risposta con la necessità di accuratezza e tutela delle risorse collettive degli utenti.

La definizione dell’ammontare rimborsabile si basa sulla differenza tra il valore al momento dell’esfiltrazione e il valore attuale dei token, con criteri chiari: vengono considerati rimborsabili i beni esfiltrati e verificati, non le perdite derivanti da successive transazioni non autorizzate effettuate dagli utenti dopo la compromissione. Inoltre, per i casi in cui la tracciabilità on-chain evidenzi la conversione o la dispersione dei fondi in più step, la quantificazione del rimborso segue le prove disponibili per individuare il valore recuperabile e la responsabilità diretta dell’incidente.

Infine, per gestire l’elevato numero di reclami e ridurre i tempi di attesa, Trust Wallet ha previsto una soglia di priorità: rimborsi immediati per casi con evidenza incontrovertibile e importi contenuti; revisioni approfondite per le richieste complesse e di maggiore entità. Gli utenti sono stati informati sulle tempistiche previste e sui documenti necessari; le richieste incomplete vengono temporaneamente bloccate, con comunicazioni chiare su come integrare le prove richieste per riaprire la pratica.

FAQ

• Come viene determinato se una perdita è rimborsabile? Si valuta la correlazione on-chain tra le transazioni sottratte e la finestra dell’attacco, verificando hash, timestamp e indirizzi associati all’estensione compromessa.
• Quali prove devono fornire gli utenti per ottenere il rimborso? Indirizzi wallet, hash delle transazioni uscenti, screenshot e qualsiasi documento che colleghi la perdita alla versione compromessa dell’estensione.
• Perché molte segnalazioni sono sospese o rifiutate? Perché risultano duplicate, non verificabili o non direttamente correlate all’incidente; vengono richieste integrazioni documentali prima di procedere.
• Come viene calcolato l’importo del rimborso? Sul valore dei fondi al momento dell’esfiltrazione verificata, con attenzione alla ricostruzione on-chain e alle conversioni successive eventualmente documentate.
• Quanto tempo richiede la procedura di verifica? I casi con evidenze chiare sono prioritari e processati più rapidamente; le richieste complesse richiedono revisioni forensi che possono estendersi per diversi giorni o settimane.
• Come si evita che vengano approvati rimborsi fraudolenti? Mediante controlli anti-duplicazione, review tecnica e legale multilivello, e la richiesta di prove forensi obbligatorie prima dell’erogazione di qualsiasi rimborso.