TrustWallet遭黑客攻击致700万美元损失 官方承诺赔偿

由币安支持的主流多链自托管钱包TrustWallet于2025年12月26日遭遇严重安全事件，引发市场广泛关注。攻击者通过在Chrome扩展程序v2.68.0中植入恶意JavaScript代码，成功截获用户助记词，并窃取价值逾700万美元的BTC、SOL、BNB及多个EVM生态L2资产。

攻击路径解析：隐蔽恶意代码如何潜入钱包

网络安全研究显示，此次攻击源于一次更新中的异常变更。4482.js文件被植入伪装成“分析模块”的后门程序，其在用户导入助记词时自动将敏感数据发送至外部服务器。该服务器域名被刻意命名为类似“TrustWallet Metrics API”等合法外观，以规避检测。

由于助记词一旦泄露，攻击者即可在本地恢复钱包并自由提取资金，无需任何授权。这种“静默劫持”模式极大提升了攻击隐蔽性与破坏力。目前，赃款已被转移至ChangeNOW、FixedFloat、KuCoin和HTX等平台，部分交易已进入混币流程。

用户应对此类安全事件的紧急应对措施

多位安全专家建议，若设备安装了受感染的v2.68.0版本扩展，应立即断开网络连接，关闭设备，防止进一步数据外泄。同时，所有用户必须尽快升级至官方发布的v2.69.0版本，以修复漏洞。

TrustWallet团队于2025年12月26日发布声明，确认本次事件净损失约为700万美元，并强调“所有受影响用户都将获得退款”。但具体赔偿时间表与执行方式尚未公布。

市场反应与长期影响评估

事件发生后，TWT代币价格一度跌至0.76美元，较此前下跌8%，创下9月以来新低。尽管市场短期震荡，但跌幅已逐步收窄，反映出投资者对官方赔偿机制的信心仍在。

此次事件再次凸显自托管钱包在去中心化环境中面临的安全挑战。随着更多用户将资产存放于非托管工具，区块链分析显示，类似攻击正成为高发威胁。未来，透明度更高的代码审计机制与更严格的发布验证流程或将成为行业标配。