Ricordi l’ultima volta che hai scaricato un aggiornamento senza prestarci attenzione? Per gli utenti di Trust Wallet, la notte di Natale del 2025 rimarrà impressa nella memoria per questo motivo. Cosa è successo realmente e come un semplice aggiornamento ha potuto portare al furto di milioni di dollari in criptovalute?
Le 3 informazioni da non perdere
- Un aggiornamento malevolo ha permesso di rubare oltre 8 milioni di dollari da 2.520 portafogli Trust Wallet.
- L’hacking ha sfruttato una falla nella catena di approvvigionamento dell’azienda, nota come Sha1-Hulud.
- Trust Wallet ha avviato un processo di rimborso per gli utenti colpiti.
L’attacco informatico di Natale
La sera del 24 dicembre 2025 ha segnato l’inizio di un episodio tumultuoso per gli utenti di Trust Wallet. Un aggiornamento apparentemente innocuo, la versione 2.68.0, è stato scaricato da migliaia di utenti. Tuttavia, conteneva una linea di codice malevolo che ha portato all’esfiltrazione di dati sensibili verso un server esterno. Questo attacco ha permesso di sottrarre oltre 8 milioni di dollari distribuiti su 2.520 portafogli.
Tecnica dell’attacco e sfruttamento
I pirati informatici hanno realizzato questo exploit conducendo un attacco alla catena di approvvigionamento, chiamato Sha1-Hulud, iniziato nel novembre 2025. Utilizzando pacchetti npm compromessi, hanno avuto accesso al codice sorgente dell’estensione del browser di Trust Wallet e alla sua chiave API del Chrome Web Store. Con queste informazioni, sono riusciti a pubblicare direttamente una versione modificata dell’estensione sullo store, aggirando i processi di validazione abituali.
Reazioni e misure di sicurezza
Di fronte a questa situazione critica, Trust Wallet ha reagito rapidamente. Già il 25 dicembre, l’azienda ha pubblicato un aggiornamento sicuro con il numero 2.69.0 e ha chiesto agli utenti di installarlo con urgenza. Parallelamente, un team di ricercatori white hat è stato mobilitato per neutralizzare il server malevolo. Sono stati condotti attacchi DDoS contro il dominio metrics-trustwallet.com per limitare l’impatto dell’attacco.
Processo di rimborso e lezioni apprese
Per compensare le perdite, Trust Wallet ha messo in atto un processo di rimborso per gli utenti colpiti. Questo compito è complesso, poiché richiede di identificare precisamente ogni vittima e l’importo perso filtrando al contempo le false richieste. Questo caso sottolinea l’importanza della sicurezza delle catene di approvvigionamento nello sviluppo software, nonché la necessità di una maggiore vigilanza durante la pubblicazione degli aggiornamenti.
Contesto di Trust Wallet
Trust Wallet è un’azienda rinomata nel campo dei portafogli di criptovalute, offrendo soluzioni sicure per gestire varie valute digitali. Fondata nel 2017, la società ha rapidamente guadagnato popolarità grazie alla sua facilità d’uso e alle sue funzionalità avanzate. Tuttavia, questo incidente mette in luce le crescenti sfide che le aziende di questo settore devono affrontare in materia di sicurezza e protezione dei dati.
