Vulneración en la extensión de Chrome de Trust Wallet causó pérdidas de U$S 7 millones, afectando a la versión 2.68; se recomienda actualizar a la versión 2.69. Un código malicioso robaba frases mnemotécnicas cifradas enviándolas a un servidor externo (api.metrics-trustwallet[.]com) y los activos robados incluyen Bitcoin, Solana y Ethereum. Se sospecha de manipulación del código fuente interno y posible participación interna, aunque aún no hay pruebas concretas.

Muchos usuarios de Trust Wallet vieron sus billeteras vaciadas en más de 7 millones de dólares tras una brecha de seguridad en la versión de extensión para navegador Chrome 2.68.0, lanzada el 24 de diciembre de 2025. El investigador de blockchain ZachXBT fue el primero en señalar el incidente en X, observando un aumento en las salidas no autorizadas de las direcciones afectadas poco después de que los usuarios interactuaran con la extensión.

Trust Wallet insta a los usuarios a actualizar su extensión de Google Chrome a la última versión tras lo que describió como un "incidente de seguridad" que provocó pérdidas de aproximadamente 7 millones de dólares.

El problema, según informó el servicio de billetera de criptomonedas multicadena sin custodia, afecta a la versión 2.68. La extensión cuenta con aproximadamente un millón de usuarios, según la Chrome Web Store. Se recomienda a los usuarios actualizar a la versión 2.69 lo antes posible.

"Hemos confirmado que aproximadamente 7 millones de dólares se han visto afectados y nos aseguraremos de que todos los usuarios afectados reciban el reembolso", declaró Trust Wallet en una publicación en X. "Apoyar a los usuarios afectados es nuestra principal prioridad y estamos finalizando activamente el proceso de reembolso".

Trust Wallet también insta a los usuarios a abstenerse de interactuar con cualquier mensaje que no provenga de sus canales oficiales. Los usuarios de dispositivos móviles y todas las demás versiones de la extensión del navegador no se ven afectados.

Según los detalles compartidos por SlowMist, la versión 2.68 introdujo un código malicioso diseñado para iterar a través de todos los monederos almacenados en la extensión y activar una solicitud de frase mnemotécnica para cada monedero.

"El mnemónico cifrado se descifra utilizando la contraseña o passkeyPassword ingresada durante el desbloqueo del monedero", explicó la empresa de seguridad blockchain. "Una vez descifrada, la frase mnemotécnica se envía al servidor del atacante api.metrics-trustwallet[.]com".

El dominio "metrics-trustwallet[.]com" se registró el 8 de diciembre de 2025, y la primera solicitud a "api.metrics-trustwallet[.]com" comenzó el 21 de diciembre de 2025.

Análisis posteriores revelaron que el atacante utilizó una biblioteca de análisis de cadena completa de código abierto llamada posthog-js para recopilar información de los usuarios de la billetera.

Los activos digitales robados hasta la fecha incluyen aproximadamente 3 millones de dólares en Bitcoin, 431 dólares en Solana y más de 3 millones de dólares en Ethereum. Los fondos robados se han transferido a través de plataformas de intercambio centralizadas y puentes entre cadenas para su lavado e intercambio. Según una actualización compartida por el investigador de blockchain ZachXBT, el incidente ha causado cientos de víctimas.

Este incidente de puerta trasera se originó por una modificación maliciosa del código fuente dentro del código base de la extensión interna de Trust Wallet (lógica analítica), en lugar de la inyección de una dependencia de terceros comprometida (por ejemplo, un paquete NPM malicioso) —declaró SlowMist—.

El atacante manipuló directamente el código de la aplicación y luego utilizó la biblioteca de análisis legítima PostHog como canal de exfiltración de datos, redirigiendo el tráfico analítico a un servidor controlado por el atacante. La compañía afirmó que existe la posibilidad de que se trate de un agente de un estado-nación, y añadió que los atacantes podrían haber obtenido el control de los dispositivos de los desarrolladores relacionados con Trust Wallet o permisos de implementación antes del 8 de diciembre de 2025.

Changpeng Zhao, cofundador de la plataforma de intercambio de criptomonedas Binance, propietaria de la herramienta, insinuó que la vulnerabilidad fue "muy probablemente" ejecutada por alguien interno, aunque no se aportaron más pruebas que respaldaran esta teoría.

Código Malicioso Expuesto

Los investigadores examinaron un paquete comprometido y encontraron un archivo JavaScript llamado 4482.js que se hacía pasar por PostHog analytics. El script ofuscado se activó en la importación de la frase semilla, extrayendo silenciosamente datos confidenciales de la billetera, incluyendo frases de recuperación, a api.metrics-trustwallet.com, un dominio registrado días antes y que imitaba la marca oficial.

Los registros públicos de WHOIS confirmaron su novedad, sin vínculos con la infraestructura legítima de Trust Wallet.

La sofisticación de los atacantes se extendió al phishing paralelo: dominios como fix-trustwallet.com atrajeron a usuarios en pánico con falsas "soluciones de vulnerabilidad", lo que les llevó a ingresar la frase semilla para vaciados instantáneos. El registrador compartido entre los sitios de phishing sugiere operaciones coordinadas.

Trust Wallet reconoció la brecha el 25 de diciembre a través de X, la aisló a la versión 2.68.0 y urgió a la desactivación inmediata. Debes navegar a chrome://extensions/?id=egjidjbpglichdcondbcbdnbeeppgdph, desactivar, habilitar el modo desarrollador y actualizar a v2.69, que es la única versión segura.

El equipo prometió reembolsos completos a los usuarios afectados, priorizó la atención al cliente y advirtió contra los mensajes directos no oficiales. Changpeng Zhao, cofundador de Binance, insinuó una posible participación de personas internas, lo que intensificó el escrutinio sobre la billetera adquirida.

Esta brecha subraya los peligros de la cadena de suministro en las extensiones criptográficas, donde las actualizaciones automáticas evitan el escrutinio del usuario. Las cadenas afectadas abarcan EVM, Bitcoin y Solana, con fondos robados lavados a través de mezcladores.

Los expertos en ciberseguridad recomiendan utilizar nuevas billeteras para las semillas potencialmente expuestas y verificar las actualizaciones con diligencia. A medida que continúan las investigaciones, el proceso de reembolso de Trust Wallet pondrá a prueba la confianza de los usuarios en medio de los $3 mil millones en pérdidas por piratería informática en 2025.

Fuente: THN