返回博客
安全Trust Wallet供应链npm浏览器扩展
Trust Wallet 的850万美元噩梦：Shai-Hulud 供应链攻击内幕
一个被入侵的 NPM 包导致恶意 Chrome 扩展程序从2500+钱包中盗取了850万美元。供应链攻击如何威胁每个加密用户。
Miguel Treviño•
要点速览：
- 攻击：一个恶意 NPM 包（"Shai-Hulud 2.0"）入侵了 Trust Wallet 的 Chrome 扩展程序，从2500多用户处盗取了850万美元。
- **漏洞：**软件供应链攻击针对开发者的 GitHub 和应用商店凭证，直接将恶意代码注入自动更新的软件。
- **扩展风险：**基于浏览器的钱包因其广泛的权限和无缝（但危险的）自动更新而特别容易受到数据窃取。
- **Zelf 的解决方案：**Zelf 以移动端优先的设计和 ZK 面部证明认证完全消除了助记词存储——即使供应链被入侵也能防止数据窃取。
2025年平安夜，有人向 Trust Wallet 的 Chrome 扩展程序推送了一个恶意更新。
几天内，超过850万美元从2500多个钱包中被盗。受害者没有做错任何事——他们只是安装了一个自动更新的浏览器扩展。
攻击方式
这不是一个零日漏洞或智能合约黑客。这是一次供应链攻击，针对软件开发流水线。
事件链：
- Shai-Hulud 2.0：一次大规模供应链攻击入侵了数千个 NPM 包
- 凭证窃取：攻击者获取了 Trust Wallet 的 GitHub 密钥和 Chrome Web Store API 密钥
- 恶意发布：版本2.68被直接推送到 Chrome Web Store，绕过审查
- 助记词窃取：恶意代码静默地将钱包数据发送到攻击者控制的服务器
为什么这令人恐惧
这次攻击暴露了加密生态系统中的一个根本漏洞：软件供应链。
每个加密钱包、交易所和 DeFi 协议都依赖于：
- NPM 包（JavaScript 库）
- GitHub 仓库（源代码）
- 浏览器扩展商店（分发）
- CI/CD 流水线（自动构建）
入侵这条链中的任何一个环节，你就可以将恶意代码注入数百万人使用的软件中。
被盗了什么
攻击者带走了：
- 约300万美元的 Bitcoin
- 约300万美元的 Ethereum
- 431美元的 Solana
- 以及各种山寨币
资金很快通过交易所和跨链桥转移。大部分永远不会被追回。
Trust Wallet 的回应
值得称赞的是，Trust Wallet 迅速采取了行动：
- 撤销了所有被入侵的凭证
- 在数小时内发布了干净版本（2.69）
- 宣布全额赔偿受影响用户（由 Binance 支持）
- 发布了详细的事件报告
CZ 确认 Trust Wallet 将承担所有损失。但不是每个项目都有 Binance 的资源。
更大的问题
这次攻击本可以发生在任何基于浏览器的钱包上：
- MetaMask
- Phantom
- Rabby
- Coinbase Wallet
它们都依赖于同一条脆弱的供应链。它们都默认自动更新。它们都存储恶意代码可能窃取的敏感数据。
为什么浏览器扩展有风险
浏览器扩展在一个独特的危险环境中运行：
- 广泛的权限：它们可以读取/修改网页、访问存储、拦截请求
- 自动更新：新版本自动部署，通常用户不知情
- 供应链暴露：一个被入侵的依赖影响所有用户
- 有限的沙箱：扩展与敏感网站共享浏览器上下文
每次你安装浏览器扩展钱包时，你都在信任：
- 开发团队
- 他们使用的每个依赖
- 这些依赖的每个维护者
- 浏览器商店的审查流程
- 他们部署基础设施的安全性
这是大量的信任。
Zelf 的不同之处
Zelf 从根本上以不同的方式处理安全：
1. 最小攻击面
我们以移动端优先的架构减少供应链暴露。移动应用具有：
- 更严格的应用商店审查流程
- 应用之间更好的沙箱隔离
- 安全关键更新不会在未经用户同意的情况下自动更新
2. 无助记词存储
如果没有助记词可以窃取，恶意代码就无法盗取。ZK 面部证明认证意味着：
- 设备上没有可以被提取的敏感信息
- 认证通过密码学证明进行，而非存储的秘密
3. 生物识别的不可导出性
你的面部无法被复制并发送到远程服务器（以可用的形式）。与基于文本的秘密不同，生物识别认证本质上绑定到你本人。
每个加密用户的教训
- 最小化浏览器扩展：每个扩展都是攻击面
- 禁用自动更新——对安全关键软件
- 使用硬件隔离：将重要持有资产从浏览器连接的钱包中移出
- 验证后再信任：将扩展版本与官方公告核对
- 考虑替代方案：具有更好安全模型的移动钱包
钱包安全的未来
Trust Wallet 事件证明"非托管"不等于"安全"。自我托管的安全性取决于实现它的软件。
下一代钱包需要：
- 无法被窃取的零知识认证
- 独立于软件供应链的硬件支持安全
- 最小可信计算基础以减少攻击面
这正是 Zelf 正在构建的。