Trust Wallet hat einen Hack bestätigt, der dazu führte, dass Millionen von Dollar an Nutzergeldern abgezogen wurden.
Was zunächst als verstreute Wallet-Verluste erschien, verhärtete sich schnell zu etwas viel Ernsterem: einem bestätigten Lieferketten-Kompromiss der offiziellen Chrome-Browsererweiterung von Trust Wallet.
Der Hack der Christmas Trust Wallet
Der Vorfall geht auf den 24. Dezember 2025 zurück, als Trust Wallet Version 2.68.0 seiner Browsererweiterung Chrome veröffentlichte.
Der erste große öffentliche Alarm kam vom On-Chain-Ermittler ZachXBT, der die Wallet-Drains direkt mit dem v2.68-Update in Verbindung brachte, während die Gelder noch in Bewegung waren. Seine Warnungen halfen, den Vorfall als Erweiterungskompromittierung und nicht als Benutzerfehler darzustellen.
In vielen Fällen wurden Wallets innerhalb von Minuten nach dem Import einer Seed-Phrase oder dem Zugriff auf eine bestehende Wallet über die Erweiterung geleert.
Bis zum 26. Dezember war das Bild klarer, und Trust Wallet bestätigte öffentlich, dass nur die Browser-Erweiterung Version 2.68 betroffen war.
Wir haben einen Sicherheitsvorfall identifiziert, der nur die Trust Wallet Browser Extension Version 2.68 betrifft. Benutzer mit Browser-Erweiterung 2.68 sollten deaktivieren und auf 2.69 aktualisieren. Bitte verweisen Sie auf den offiziellen Link des Chrome Webstores hier: chrome.google.com/webstore/detai… Bitte beachten Sie: Nur mobile Nutzer
Obwohl mobile Nutzer nicht betroffen waren, riet das Unternehmen allen Erweiterungsnutzern, Version 2.68 sofort zu deaktivieren und über den offiziellen Chrome Web Store auf Version 2.69 aufzurüsten.
Was wirklich schiefgelaufen ist
Forscher und On-Chain-Ermittler beschrieben den Exploit als einen direkten Lieferkettenangriff, nicht als Phishing und nicht als Nutzerfehler.
Laut mehreren öffentlich geteilten Analysen enthielt die kompromittierte Erweiterung eine bösartige JavaScript-Nutzlast, die in scheinbar routinemäßigem Analysecode eingebettet war.
Das Skript, das oft als Datei ähnlich wie “4482.js” bezeichnet wird, soll sich als PostHog-ähnliche Integration tarnt haben. Seine Funktion war einfach und verheerend.
Wenn Nutzer ihre Wiederherstellungsphrase eingaben oder abrufen, wurden die Daten stillschweigend in von Angreifern kontrollierte Infrastruktur über Domains exfiltriert, die legitimen Vertrauens-Wallet-Metrik-Endpunkten ähnelten.
Sobald die Angreifer die Seed-Phrase hatten, war keine weitere Interaktion mehr nötig. Es gab keine Genehmigungen zu täuschen und keine Transaktionen zu unterschreiben.
Die Wallet könnte anderswo wiederhergestellt und auf jeder unterstützten Blockchain verbraucht werden.
Genau das beobachteten die Ermittler, mit schnellen Multi-Chain-Sweeps, die Bitcoin, EVM-Netzwerke, Solana und BNB Chain betrafen.
Geld floss an Soforttauschdienste und CEXs
Während einige Berichte auf etwa 2,8 Millionen US-Dollar an bestätigten Abflüssen hinwiesen, verzeichneten andere mehr als 4 Millionen Dollar, die durch identifizierte Dienste flossen. Trust Wallet hat jedoch bestätigt, dass die Gesamtwirkung etwa 7 Millionen US-Dollar beträgt.
Binance-Gründer CZ, dessen Unternehmen 2018 Trust Wallet übernommen hat, gab ebenfalls an, dass die Verluste bei etwa 7 Millionen Dollar liegen und bestätigte, dass die Nutzer vollständig bezahlt werden.
CZ hob außerdem das unangenehmste Problem hervor, das durch den Vorfall aufgeworfen wurde: wie ein bösartiger Build unter einer offiziellen Wallet-Marke den Chrome Web Store erreichen konnte.
On-Chain-Analysen zeigen, dass die gestohlenen Gelder schnell überwiesen werden, wobei ein erheblicher Teil über Sofort-Exchange-Dienste und zentralisierte Plattformen weitergeleitet wird.
Öffentliche Tracker nannten Zuflüsse zu Diensten wie ChangeNOW und FixedFloat sowie zu Börsen wie KuCoin und HTX.
Trust Wallet(@TrustWallet) wurde ausgenutzt, wobei Hunderte von Nutzern betroffen sind und bisher über 6,77 Millionen Dollar gestohlen wurden. Der Hacker hat bereits ~4,25 Millionen Dollar an ChangeNOW, FixedFloat, KuCoin und HTX gesendet. CZ(@cz_binance) hat erklärt, dass Trust Wallet die Verluste vollständig abdecken wird. Check Hacker
Während die Ermittlungen andauern, hat Trust Wallet Nutzer davor gewarnt, alle Nachrichten zu ignorieren, die nicht von offiziellen Trust-Wallet-Kanälen stammen.
The post Trust Wallet wurde gerade an Weihnachten gehackt, 7 Millionen Dollar verbraucht appeared first on Invezz
