Tiện ích mở rộng Trust Wallet Browser gặp phải lỗ hổng bảo mật nghiêm trọng trong bản cập nhật Phiên bản 2.68.0

Một vụ vi phạm bảo mật nghiêm trọng đã xảy ra đối với người dùng Trust Wallet vào cuối tháng 12 năm 2025, dẫn đến mất mát lớn về quỹ sau khi cập nhật tiện ích mở rộng trình duyệt Chrome. Sự cố này là một trong những vụ vi phạm bảo mật nghiêm trọng nhất trong lĩnh vực ví tiền điện tử, với nhiều người dùng báo cáo rằng số dư tiền điện tử của họ đã bị rút sạch chỉ trong vài phút sau khi nâng cấp lên phiên bản 2.68.0. Dữ liệu trên chuỗi hiện cho thấy tính chất phối hợp của cuộc tấn công, nhằm vào số dư Bitcoin, Ethereum và BNB trên các ví bị xâm phạm.

Dòng thời gian: Khi nào vụ vi phạm bảo mật xảy ra và quá trình diễn ra như thế nào

Vụ vi phạm bảo mật trở nên rõ ràng khi người dùng bắt đầu báo cáo hoạt động bất thường trên các nền tảng mạng xã hội sau khi cập nhật tiện ích mở rộng lên phiên bản 2.68.0. Một số người dùng bị ảnh hưởng mô tả trải nghiệm rợn người: sau khi nhập seed phrase vào tiện ích mở rộng mới, số dư tiền điện tử của họ—trước đó an toàn—đã bị rút sạch hoàn toàn. Tốc độ rút tiền thật đáng kinh ngạc; một số ví mất toàn bộ số dư chỉ trong vài phút.

Theo thông báo chính thức của Trust Wallet phát hành ngày 26 tháng 12 năm 2025, vụ vi phạm bắt nguồn từ một lỗ hổng cụ thể trong phiên bản 2.68.0. Công ty ngay lập tức khuyên tất cả người dùng tắt tiện ích mở rộng bị ảnh hưởng và nâng cấp lên phiên bản vá lỗi 2.69 như một biện pháp khẩn cấp. Sự thừa nhận nhanh chóng này và hướng dẫn rõ ràng cho thấy công ty nhận thức rõ mức độ nghiêm trọng của tình hình.

Bằng chứng trên chuỗi: Rút tiền phối hợp qua nhiều mạng lưới

Nhà phân tích blockchain ZachXBT, nổi tiếng trong việc theo dõi các hoạt động tiền điện tử tinh vi, đã tiến hành điều tra pháp y các giao dịch bị kích hoạt bởi vụ vi phạm này. Các phát hiện của ông mô tả một hoạt động phối hợp chặt chẽ chứ không phải trộm cắp ngẫu nhiên. Dữ liệu trên chuỗi cho thấy, chỉ trong vài giây sau khi ví bị xâm phạm, quỹ đã được chuyển đến nhiều địa chỉ trung gian trong một chuyển động tấn công duy nhất—không phải từ từ hay theo từng phần, mà như một giao dịch hợp nhất.

Mẫu đặc trưng mà ZachXBT quan sát được cho thấy quỹ từ nhiều ví bị xâm phạm được chuyển qua các đường dẫn giao dịch tương tự nhau. Các tài sản Bitcoin, Ethereum và BNB đã bị xóa sạch khỏi từng ví bị ảnh hưởng, và số tiền bị đánh cắp sau đó được phân phối lại qua một mạng các địa chỉ đáng ngờ. Mô hình chuyển tiền phối hợp này cho thấy rõ một cuộc tấn công có tổ chức chứ không phải các vụ việc riêng lẻ. Các chuỗi chuyển hướng lặp đi lặp lại trên blockchain càng củng cố giả thuyết rằng nhiều ví bị xâm phạm đang bị khai thác thông qua một cơ chế thống nhất.

Thiệt hại đã xác nhận: Hơn 4,3 triệu USD bị truy vết từ các ví bị xâm phạm

Phân tích blockchain hiện tại liên kết ít nhất 4,3 triệu USD tiền điện tử với các địa chỉ liên quan đến vụ vi phạm bảo mật này. Cần lưu ý rằng con số này chỉ phản ánh các khoản thiệt hại đã được xác nhận, có thể truy vết công khai từ các ví bị xâm phạm đã báo cáo. Tổng thiệt hại thực tế có thể vượt xa con số này, vì không phải tất cả người dùng bị ảnh hưởng đều đã công khai vụ việc hoặc cung cấp đủ dấu hiệu trên chuỗi để theo dõi.

ZachXBT đã xác định các địa chỉ chính nơi số tiền bị đánh cắp được tập trung sau khi rút ra từ các ví nạn nhân. Các địa chỉ này thể hiện các mẫu đặc trưng—rút tài sản từ nhiều tài khoản bị xâm phạm và có hành vi giao dịch tương tự nhau. Bằng chứng tổng hợp cho thấy vụ vi phạm này có phạm vi rộng hơn nhiều so với dự kiến ban đầu, ảnh hưởng đến số lượng người dùng Trust Wallet không xác định được, những người đã nhập seed phrase của họ vào phiên bản tiện ích mở rộng bị xâm phạm.

Phản hồi chính thức và các hành động khuyến nghị cho người dùng

Trust Wallet thể hiện sự minh bạch trong việc xử lý vụ vi phạm bảo mật bằng cách phát hành một tuyên bố chi tiết vào ngày 26 tháng 12 năm 2025 qua kênh chính thức của họ trên X (trước đây là Twitter). Công ty xác nhận lỗ hổng bảo mật nghiêm trọng này chỉ giới hạn trong phiên bản tiện ích mở rộng trình duyệt 2.68.0 và đề xuất các bước khẩn cấp cho người dùng. Hành động khuyến nghị là ngay lập tức tắt tiện ích mở rộng dễ bị tổn thương và nâng cấp lên phiên bản 2.69, chứa bản vá bảo mật.

Sau vụ vi phạm này, ngành công nghiệp đã bắt đầu bàn luận rộng rãi về các rủi ro tiềm ẩn liên quan đến ví dựa trên tiện ích mở rộng trình duyệt. Các chuyên gia an ninh nhấn mạnh rằng seed phrase cần được xử lý cực kỳ cẩn thận, và người dùng nên xác minh tính hợp pháp của phần mềm ví trước khi nhập thông tin nhạy cảm. Vụ vi phạm của Trust Wallet là một lời nhắc nhở rõ ràng rằng ngay cả các giải pháp ví phổ biến, đã được thiết lập vững chắc cũng có thể trở thành mục tiêu của các hacker tinh vi, và người dùng cần cảnh giác trong việc cập nhật các phiên bản vá lỗi và theo dõi hoạt động bất thường của tài khoản.