返回部落格
安全trust-wallet供應鏈npm瀏覽器擴充
Trust Wallet 的 850 萬美元噩夢：深入 Shai-Hulud 供應鏈攻擊
一個被入侵的 NPM 套件導致惡意 Chrome 擴充從 2500 多個錢包中盜取了 850 萬美元。供應鏈攻擊如何威脅每個加密用戶。
Miguel Treviño•
重點摘要：
- 攻擊： 一個惡意 NPM 套件（「Shai-Hulud 2.0」）入侵了 Trust Wallet 的 Chrome 擴充，從 2500 多位用戶那裡盜取了 850 萬美元。
- 漏洞： 軟體供應鏈攻擊瞄準了開發者的 GitHub 和 App Store 憑證，將惡意程式碼直接注入自動更新的軟體。
- 擴充風險： 基於瀏覽器的錢包由於其廣泛的權限和無縫（但危險的）自動更新，特別容易受到資料外洩的攻擊。
- Zelf 解決方案： Zelf 的行動優先設計和 ZK 人臉證明 身份驗證完全消除了助記詞儲存——即使發生供應鏈入侵也能防止資料外洩。
2025 年聖誕前夕，有人向 Trust Wallet 的 Chrome 擴充推送了一個惡意更新。
幾天之內，超過 850 萬美元 從超過 2500 個錢包 中被盜。受害者沒有做錯任何事——他們只是有一個自動更新的瀏覽器擴充。
攻擊向量
這不是零日漏洞或智能合約入侵。這是一次瞄準軟體開發流程的 供應鏈攻擊。
事件鏈：
- Shai-Hulud 2.0：大規模供應鏈攻擊入侵了數千個 NPM 套件
- 憑證竊取：攻擊者獲取了 Trust Wallet 的 GitHub 秘密和 Chrome Web Store API 金鑰
- 惡意發布：2.68 版直接推送到 Chrome Web Store，繞過了審查
- 助記詞外洩：惡意程式碼悄悄地將錢包資料發送到攻擊者控制的伺服器
為什麼這令人恐懼
這次攻擊暴露了加密生態系統中的一個基本漏洞：軟體供應鏈。
每個加密錢包、交易所和 DeFi 協議都依賴於：
- NPM 套件（JavaScript 函式庫）
- GitHub 儲存庫（原始碼）
- 瀏覽器擴充商店（分發）
- CI/CD 管線（自動構建）
入侵該鏈中的任何環節，你就可以將惡意程式碼注入數百萬人使用的軟體。
被盜了什麼
攻擊者帶走了：
- 約 300 萬美元 的 Bitcoin
- 約 300 萬美元 的 Ethereum
- 431 美元 的 Solana
- 各種山寨幣的額外金額
資金迅速通過交易所和跨鏈橋轉移。大部分永遠無法追回。
Trust Wallet 的回應
值得讚揚的是，Trust Wallet 迅速採取了行動：
- 撤銷了所有被入侵的憑證
- 在數小時內發布了乾淨版本（2.69）
- 宣布對受影響用戶進行全額賠償（由 Binance 支持）
- 發布了詳細的事件報告
CZ 確認 Trust Wallet 將承擔所有損失。但並非每個項目都有 Binance 的資源。
更大的問題
這次攻擊可能發生在 任何 基於瀏覽器的錢包上：
- MetaMask
- Phantom
- Rabby
- Coinbase Wallet
它們都依賴相同的脆弱供應鏈。它們都預設自動更新。它們都儲存惡意程式碼可以外洩的敏感資料。
為什麼瀏覽器擴充有風險
瀏覽器擴充在一個獨特危險的環境中運行：
- 廣泛的權限：它們可以讀取/修改網頁、存取儲存、攔截請求
- 自動更新：新版本自動部署，通常用戶不知道
- 供應鏈暴露：一個被入侵的依賴影響所有用戶
- 有限的沙箱：擴充與敏感網站共享瀏覽器上下文
每次你安裝瀏覽器擴充錢包，你都在信任：
- 開發團隊
- 他們使用的每個依賴
- 那些依賴的每個維護者
- 瀏覽器商店審查流程
- 他們部署基礎設施的安全性
這是很多信任。
Zelf 的不同之處
Zelf 從根本上以不同的方式處理安全：
1. 最小攻擊面
我們的行動優先架構減少了供應鏈暴露。行動應用程式具有：
- 更嚴格的應用商店審查流程
- 應用程式之間更好的沙箱隔離
- 安全關鍵更新不會在沒有用戶同意的情況下自動更新
2. 無助記詞儲存
如果沒有助記詞可以外洩，惡意程式碼就無法竊取它。ZK 人臉證明 身份驗證意味著：
- 設備上沒有可以被提取的敏感內容
- 身份驗證通過密碼學證明進行，而非儲存的秘密
3. 生物識別不可輸出
你的臉不能被複製並（以可用的形式）發送到遠端伺服器。與基於文字的秘密不同，生物識別身份驗證本質上綁定到你。
每個加密用戶的教訓
- 最小化瀏覽器擴充：每個擴充都是攻擊面
- 停用自動更新，用於安全關鍵軟體
- 使用硬體隔離：將大額持有遠離瀏覽器連接的錢包
- 驗證再信任：對照官方公告檢查擴充版本
- 考慮替代方案：具有更好安全模式的行動錢包
錢包安全的未來
Trust Wallet 事件證明「非託管」不等於「安全」。自託管的安全性取決於實現它的軟體。
下一代錢包需要：
- 無法外洩的零知識身份驗證
- 獨立於軟體供應鏈的 硬體支持安全
- 最小的可信計算基底 以減少攻擊面
這正是 Zelf 正在建構的。