Останнє оновлення Trust Wallet все ще залишає вразливість у безпеці, повільне сповіщення Mist виявляє

Дослідники з безпеки з Slow Mist підняли критичний сигнал тривоги щодо браузерного розширення Trust Wallet, попереджаючи, що навіть після останнього оновлення залишається суттєва вразливість. За даними звіту mist, версія 2.69.0, яка мала вирішити попередні проблеми безпеки, продовжує містити проблемний код, що загрожує безпеці активів користувачів.

Постійний ризик: PostHog JS все ще присутній

Розслідування показує, що код PostHog JS залишається вбудованим у виправлену версію, незважаючи на спроби Trust Wallet виправити проблему. Це особливо тривожно, враховуючи серйозність початкової вразливості — зловмисний код був розроблений для перехоплення конфіденційної інформації гаманця, включаючи фрази для відновлення та мнемоніки, які передаються на сервер, контрольований зловмисником, за адресою api.metrics-trustwallet.com.

Хронологія інциденту безпеки

Версія 2.68.0 браузерного розширення Trust Wallet спочатку була виявлена з шкідливими скриптами, здатними збирати критичні дані гаманця. Хоча команда розробників випустила версію 2.69.0 як міру виправлення, звіт mist від Slow Mist показує, що небезпечні елементи коду не були повністю усунені під час оновлення.

Що це означає для користувачів

Збереження PostHog JS у оновленій версії становить невирішену загрозу. Користувачі, які оновили до 2.69.0, все ще можуть стикатися з ризиками, пов’язаними зі збором даних та потенційним розкриттям їхніх найчутливіших облікових даних. Той факт, що Slow Mist був змушений випустити додаткове попередження, свідчить про те, що патч не повністю вирішив проблему.

Цей інцидент підкреслює важливість пильних заходів безпеки та необхідність ретельної перевірки перед розгортанням браузерних розширень, що обробляють чутливий криптографічний матеріал.