#钱包安全漏洞 Нещодавно Trust Wallet був викритий у крадіжці на суму 6 мільйонів доларів США. Я уважно переглянув аналіз SlowMist — проблема полягає в тому, що версія 2.68 браузерного плагіна містила PostHog JS для збору інформації про користувачів, і ще більш тривожно, що виправлена версія насправді не повністю видалила цю функцію.

Це нагадало мені про інцидент з вразливістю "Demonic" кілька років тому, коли хтось уже зазнав втрат. Тепер проблеми стають все більш прихованими: це вже не просто помилка у коді, а фоновий збір даних про гаманці без відома користувача.

Мій останній висновок щодо захисту такий — якщо у вашого гаманця виникли проблеми, ні в якому разі не виконуйте операції онлайн, а виведіть мнемонічний фразу у режимі офлайн і перенесіть активи, інакше хакер може вкрасти їх у момент відкриття гаманця. Крім того, після резервного копіювання мнемонічної фрази потрібно спершу перевести активи, а потім оновлювати програмне забезпечення — порядок має значення, і інакше ризик дуже високий.

Ще один важливий момент — більшість випадків крадіжки не пов’язані безпосередньо з вразливістю самого плагіна, а з тим, що користувачі завантажують підроблені версії або потрапляють на фішингові сайти. MetaMask, Phantom — ці популярні гаманці вже стикалися з цим, а магазин Firefox колись був зламаний. Тому правило дуже просте — завантажуйте лише з офіційного Chrome Web Store, всі інші джерела виключені.

На блокчейні довше існування означає, що потрібно думати на крок вперед, особливо коли йдеться про безпеку активів — тут не має місця для помилок.