Resumo
- Trust Wallet, popular carteira digital, sofreu um ataque na versão 2.68 do plugin, resultando em perda de aproximadamente R$ 38 milhões.
- O ataque foi contido com uma correção, mas a vulnerabilidade permitiu que invasores capturassem frases de recuperação e transferissem fundos.
- Segundo a empresa, o ataque foi restrito ao ecossistema de desktop, e os valores serão ressarcidos aos usuários afetados.
A Trust Wallet, popular carteira digital para armazenamento de criptomoedas e tokens (NFTs) pertencente à corretora Binance, confirmou na quinta-feira de Natal (25/12) ter sofrido um ataque na extensão do serviço para navegadores.
Os agentes maliciosos, que comprometeram a versão 2.68 do software, permitiram transações não autorizadas. O ataque resultou numa perda de aproximadamente US$ 7 milhões (cerca de R$ 38 milhões) em fundos de usuários.
Em comunicado, a companhia assegurou que o incidente já foi contido com o lançamento de uma correção e garantiu o ressarcimento integral de todos os clientes atingidos. A Trust Wallet pediu aos usuários para não interagirem com a versão vulnerável do plugin até que a atualização seja concluída.
O que aconteceu?
O problema teve início na véspera de Natal, poucas horas após a liberação da atualização automática para a versão 2.68 da extensão. Nas redes sociais e fóruns especializados, usuários começaram a relatar que os saldos de criptomoedas, como Ethereum e Bitcoin, teriam sido drenados misteriosamente após o uso da ferramenta no computador.
De acordo com o portal Bleeping Computer, a versão comprometida continha um código malicioso injetado, chamado 4482.js, que fingia ser uma ferramenta de análise de dados, mas que monitorava a atividade da carteira e capturava a frase de recuperação quando fosse utilizada ou importada pelo usuário.
Esse script permitia que os invasores recebessem a chave de acesso das vítimas e enviassem os fundos para carteiras externas automaticamente, sem a necessidade de senha ou aprovação do proprietário. Os dados roubados foram enviados a um servidor externo.
Apesar do valor alto que os cibercriminosos conseguiram extrair, o ataque foi restrito ao ecossistema de desktop, não havendo indícios de falhas nos aplicativos móveis para Android e iOS.
Trust Wallet devolverá dinheiro
A empresa reconheceu a gravidade da falha e agiu para remover o vetor de ataque. Segundo a nota oficial, a equipe de segurança identificou e neutralizou a vulnerabilidade com a versão v2.69, lançada para substituir o arquivo corrompido.
Sobre os prejuízos, a Trust Wallet informou que cobrirá o valor roubado dos usuários elegíveis que foram vítimas do ataque à versão anterior.
Como atualizar o serviço?
Para quem utiliza a extensão no navegador, o serviço pediu aos usuários que não a abram clicando no ícone, pois a execução do software pode ativar o roubo de fundos restantes.
A orientação é forçar a atualização pelas configurações do navegador. Siga o passo a passo:
- Copie e cole este endereço na barra de navegação do Chrome: chrome://extensions/?id=egjidjbpglichdcondbcbdnbeeppgdph;
- Desative a extensão clicando na chave seletora (“Off”) se ela estiver ativa;
- Ative o “Modo do desenvolvedor” (Developer mode) no canto superior direito da tela;
- Clique no botão “Atualizar” (Update) localizado na barra superior esquerda;
- Aguarde o processo e verifique se o número da versão mudou para 2.69.
Além da atualização, especialistas recomendam que usuários que suspeitam de comprometimento criem uma nova carteira do zero e transfiram quaisquer ativos que tenham sobrado, abandonando as credenciais antigas.
Também é recomendável atenção redobrada com golpes de phishing: criminosos estão criando sites falsos prometendo “ferramentas de recuperação” para roubar ainda mais dados das vítimas do ataque original.
Trust Wallet perde R$ 38 milhões em ataque hacker; saiba como se proteger
